Konzipierung, Aufbau und Anbindung des Netzwerkes für einen externen Firmenstandort - IPA Saba

Glossar

Dokumentation

• Ordner 01 - 10 auf OneDrive, für Ausbildner freigegeben (Printscreen der Ordnerstruktur und Freigabe)
• Backups der Konfigs der Switches und der Firewall in entsprechenden Tagesordner
• Backup des Ubuntu-Servers ab Einrichtung auf externe Festplatte

Informieren

Erfassung der zur Verfügung gestellten Hardware

Hardware Server und PCs

• Mit welchen Mitteln wurde Hardware erfasst, Programme, Befehle, Internetseite des Herstellers

Hardware Switches

• Mit welchen Mitteln wurde Hardware erfasst, Programme, Befehle, Internetseite des Herstellers

Hardware Access-Point

• Mit welchen Mitteln wurde Hardware erfasst, Programme, Befehle, Internetseite des Herstellers

Hardware Firewall

• Mit welchen Mitteln wurde Hardware erfasst, Programme, Befehle, Internetseite des Herstellers

Erfassung der zur Verfügung gestellten Services

Die Virtualisierungsplattform Proxmox VE

• Zusammenfassung²⁾
• Features³⁾
  • KVM & Container
  • Webmanagement
  • HA-Cluster
  • Virtuelle Netzwerke
  • Storages
  • Backup
  • Firewall

Der Backup-Server BackuPC

In der Rafisa kommt die Backuplösung BackupPC⁴⁾ zum Einsatz. Dabei handelt es sich um eine freie Disk-zu-Disk Backup-Suite, die in PHP geschrieben ist. Als Übertragungsarten stehen smb für das Backup von Windows-Shares, sowie rsync für die Sicherung der Daten mit Hilfe des rync-Protokolls zur Verfügung. Zusätzlich lassen sich die Funktionalitäten mit Pre- und Post-Backupscripts erweitern. Die Hauptfeatures der Lösung sind:

• Webbasiertes Administrationsinterface: Konfiguration von Backups, Analyse der Logfiles, manuelles Starten und Stoppen von Backups, Browse und Restore von Backupdaten
• Datendeduplikation: Identische Files von mehreren Backups des selben Clients oder von verschiedenen Clients werden nur einmal gespeichert. Das erlaubt Einsparungen im Bereich der benötigten Kapazitäten sowie des Disk I/Os.
• Kompression: Da nur neue Files komprimiert werden müssen, werden die CPUs nur moderat beansprucht
• Open-Source: BackupPC wird auf Github gehostet und unter einer GPL-Lizenz verteilt
• Es wird keine clientseitige Software benötigt

Im Rahmen von Vorarbeiten wurde gemeinsam mit dem Team SRB (ServiceRestoreBackup) ein Backupserver auf der Basis von BackupPC installiert. Der SLA #001: Backup und Restore v.01⁵⁾ entnimmt man, dass folgende Backuparten zur Verfügung stehen:

• Backup von SMB-Shares
• File-Backup von Serversystemen
• Image Backup von Proxmox-VMs
• Backup von Datenbank-Systemen
• Backup der Konfigurationsdateien von Switches und Firewalls (im Aufbau)

In der vorliegenden Arbeit soll also mit dem Backup der Konfigurationsdateien von Switches und Firewall also ein Betrag zur Erweiterung des Backup-Angebots geleistet werden. In der Planung müssen folgende Punkte berücksichtigt werden: Festlegen von Datenmenge, Transferzeiten, Aufbewahrungsfrist, Sicherungsperiodizitäten

Beschreibung der aufzusetzenden Services

pfSense Firewall

pfSense ist eine auf dem Betriebssystem FreeBSD basierende Firewall-Distribution. pfSense lässt sich komplett über ein Webinterface verwalten. Zusätzlich ist der Zugriff über SSH oder über einen seriellen Port möglich. Die eingesetzten Kerntechnologien sind OpenSSL, PHP und Python. Über ein Paketsystem lassen sich die Funktionen der Firewall stark erweitern.

Die Hauptfeatures von pfSense sind⁶⁾:

• VPN Server
• High Availability
• Load Balancing
• Traffic Shaping
• Captive Portal
• UTM Device
• Firewall / Router
• DNS / DHCP Server
• IDS / IPS
• Transparent Caching Proxy
• Web Content Filter

In der Planung sollen Policies für die Konfiguration des Paketfilters und die Möglichkeiten zur Realisierung der VPN-Site-to-Site-Anbindung näher untersucht werden.

Ubiquiti UniFi Controller

• Controller entweder als Software-Lösung für Windows/Linux/Mac OXS oder als HW-Controller (Cloudkey)
• Java-Paket
• Zentrale Verwaltung aller Unify-Geräte über ein Web-Interface
• Passiver Controller: Die Access-Points werden durch Controller konfiguriert, danach laufen sie autonom, Controller kann auch abgeschaltet werden, ausser man nutzt Guest-Portal-Funktion⁷⁾
• Vorteile passiver Controller → wenn Controller nicht läuft, laufen AP's weiter, kein Single Point of Failure
• Nachteile passiver Controller → Informationen über die Funkeigenschaften der Accesspoints und der verbundenen Clients nicht zur Steuerung genutzt. Z.B. sucht AP beim Start einen geeigneten Funkkanal und bleibt auf diesem → Keine Optimierung durch Controller möglich
• Version des Intstallierten Controllers erwähnen
• Hauptfeatures des Controllers⁸⁾:
  • Integration von Grundrissen für das Monitoring der Wireless-Abdeckung
  • Detailliertes Reporting und Statistiken
  • Wireless-Uplink: Ein mit Kabel angeschlossener AP erlaubt Wireless-Uplinks auf bis zu 4 Geräte.
  • Guest-Portal-Support: Mit Voucher-Management
  • Multi-Site-Management: Verwalten mehrerer Sites mit nur einem Controller
  • Verwalten von WLAN-Gruppen

Firmenstandards für die VLANs der Rafisa Dietikon

Standard-VLANs der Rafisa

• reinkopieren

Berechtigungsmatrix für die Standard-VLANs

• reinkopieren

Firmenstandards für das Namenskonzept

• reinkopieren

L3-Plan IST-Zustand des Projektumfelds

Als Gateway haben die Geräte das Firewall VLAN-Interface des entsprechenden Subnetzes, für das VLAN01-MGMT also z.B. 172.16.1.1/24. Der Gateway für die IPA-Testumgebung ist demnach 172.16.53.1/24. Der Berechtigungsmatrix kann man entnehmen, dass die Zugänge zu allen anderen VLAN's der Rafisa durch Filterrules auf der Firewall geblockt werden. Die Firewall stellt ausser dem Gateway für den Internetzugang einen DHCP-Dienst zur Verfügung, über welchen IP-Adressen aus dem entsprechenden Subnetz, die Gateway-IP sowie die IP-Adressen der DNS-Server verteilt werden. Alle im L3-Diagramm festgehaltenen System verfügen über statische IP-Adressen.

---

---

Dartstellung und Analyse des zugesendeten Planes aus Fribourg

• Plan von wem wann erhalten (keine Namen sondern „Stellenleiter Fribourg (SF)“
• Realisierungsdatum: Betriebsferien im August

Analyse IST-Zustand

Das Netzwerk in Fribourg besteht zur Zeit aus den zwei 24-Port Switches sw-fr-s00-10 und sw-fr-s00-12, die über je 2×2 LACP-Trunks miteinander verbunden sind. sw-fr-s00-10 befindet sich im Main-Rack, sw-fr-s00-12 im Server-Rack. Am Switch sw-fr-s00-12 sind über je 2×4 im Teaming-Modus LACP gekoppelten Trunks zwei Server angeschlossen. Beide Server verfügen zudem über ein iLO-Management-System, die über einen separaten Netzwerkadapter an den Server-Switch angeschlossen sind.

In der Legende wird der Netzplan als Physical Transition-Plan bezeichnet. Die beiden Switches sollen im Endzustand durch zwei neue Switches ersetzt werden. In einer Übergangsphase (Transition) sollen die alten Switches mit allen verbundenen Geräten ans Learners-VLAN der neuen Switches angeschlossen werden. Zusätzlich soll ein neuer Switch den Workshop-Room erschliessen, wodurch eine sternförmige, vom Main-Switch ausgehende Topologie entsteht.

Nicht auf dem Plan ersichtlich sind das bestehende Subnet, die Netzwerkdienste DHCP und DNS sowie der Gateway. Auf Nachfrage teilt der SF die folgenden Netzwerkinformationen mit:
Subnetz: 172.21.22.0/24
Gateway: 172.21.22.1 (Swisscom Router Centro Business)
DHCP: 172.21.22.10 (srv-fr-s00-01)
DNS: 172.21.22.10 (srv-fr-s00-01)

Portbelegung Switch sw-fr-s00-10

Bei den nicht genauer spezifizierten Ports handelt es sich um ungetaggte Standardports.

Portbelegung Switch sw-fr-s00-12

Bei den nicht genauer spezifizierten Ports handelt es sich um ungetaggte Standardports.

Planen

Einrichten der VLANs

Namenskonzept Racks und Switches

• Namenskonzept hält sich zwar an die Policy Funktion + Physischer Standort + Laufnummern, Racks sind aber nicht nummeriert.
• Der Vorschlag von SF: sw-fr-s00-01, sf-fr-s00-02, sw-fr-s00-03
• Vorschlag, Rack s01, s02, s03

Wahl des Subnetzes

• Vorhanden 172.21.22.0/24
• Integration nach Firmenstandards möglich → 172.21.0.0/16 Standardnetz für Friourg

Mögliche SOLL-Zustände der VLANs

• Realisieren der VLANs Fribourg-SOLL vs Realisieren Standard-VLANs

LACP

sw-fr-s01-01

• keine Varianten

sw-fr-s02-01

• 2 Varianten → Teaming-Trunks wurden vergessen

Variante 1 (bestellt)

Variante 2 (vorgeschlagen)

sw-fr-s03-01

• keine Varianten

Nicht zugeordnete Ports

• Zuordnung

WLAN: WPA2-Enterprise vs. WPA2

• wie im IST-Zustand erfasst unterstützen die Unifi-AP's sowohl WPA2 als auch WPA2-Enterprise (noch bei IST-Zustand reinschreiben!)
• Vergleich WPA2-Personal - WPA2-Enterprise⁹⁾¹⁰⁾

• WPA2-Enterprise bietet Vorteile: keine geteilten Passwörter, Anbindung an AD über Radius möglich, dynamische Zuordung von VLANs → (werden nur 2 WLAN-Netzwerke benötigt: 1xFirma mit dynamischer VLAN-Zuordung, 1xGast mit WPA2-Personal und allenfalls Vouchers)
• Bei einer Lösung mit WPA2-Personal werden für die automatische Zuordnung zu den VLANs 3 WLAN-Netzwerke mit PSKs benötigt
• Für WPA2-Enterprise werden aber benötigt: Zertifikate (Zertifikatsstelle) + Radius-Server und AD

Backup und Restore

Backupvarianten

Die Aufgabe besteht darin, die Configs via BackupPC im PULL-Verfahren automatisch zu sichern.

Switches

• Im Knowledge-Base Artikel von Zyxel werden 2 Möglichkeiten erwähnt¹¹⁾: 1. die Konfig Via commandline vom Switch aus auf einen tftp Server kopieren → Problem: geht nur manuell 2. Via snmp auf tftp-Server Problem: Geht nur bei grossen Switches von Zyxel, in der Rafisa sind auch kleine 1920er im Einsatz
• In weiterem Artikel¹²⁾ wird die Möglichkeit erwähnt, per SSH das Konfig-File zu sichern → via BackupPC mit einem Prebackup-Script machbar
• Es gibt auch die Möglichkeit, das Konfig-File per FTP-Zugriff zu sichern → via BackupPC mit einem Prebackup-Script machbar.
• Mit BackupPC sind also die Möglichkeiten FTP vs. SSH-Backups

Firewall

• manueller Backup aus dem GUI möglich → Problem: nicht automatisch
• Konfig File ist auf pfSense in der Datei /conf/config.xml gespeichert
• Zugriff nur über SSH möglich → scp (secure copy kann verwendet werden)

Entscheiden

Einrichten der VLANs

Namenskonzept Racks und Switches

Wahl des Subnetzes

Zu realisierende VLANs

Zu realisierende LACPs

Zu realisierende WLAN-Ports

Portbelegung sw-fr-s01-01

Portbelegung sw-fr-s02-02

Portbelegung sw-fr-s03-03

Backup und Restore

Backupvariante für Switches und Firewall

Für die Switches wird das FTP-Backup gewählt. Das Backup-File kann mit einem bewährten, stabilen Verfahren gesichert werden. Es werden zudem keine zusätzlichen Switch-Befehle oder aufwändige Umleitungen der Ausgabe auf dem Switch in ein lokales File benötigt. Der Nachteil des unverschlüsselten Transfers der Dateien ist nicht schlimm, da sich die FTP-Zugänge aller Switches im gut gesicherten Management-VLAN befinden. Das Copy via FTP wird mit Hilfe eines Prebackup-Scripts realisiert, das das in ein lokales Verzeichnis auf dem BackupPC kopiert. Danach wird es mit dem BackupPC-Rsync in ein BackupPC-Archiv abgelegt.

Für die Firewall wird mit einem Prebackup-Script das Backup-File über scp in eine lokales Verzeichnis kopiert und danach ebenfalls mit BackupPC-Rsync in ein BackupPC-Archiv verschoben.

Rahmenbedingungen Backup und Restore

Realisieren

Kontrollieren

Auswerten