RZ Sek eins Höfe

Beschrieb: RZ und Netzwerk Sek eins Höfe
Systembetreiber
ISE AG Informatik Solutions Einsiedeln
Zürichstrasse 59
CH-8840 Einsiedeln
Telefon +41 (0)55 418 84 40
Fax + 41 (0)55 418 84 41
[email protected]
www.iseag.ch
Dateiname:
Autor:
Version:
Klassifikation:
Ablage:
Verteiler:
20121015 Beschrieb RZ und Netzwerk SEH.docx
Erstellungsdatum:
Franz Kälin
Änderungsdatum:
1.0
Änderung durch:
Öffentlich
Druckdatum:
https://intranet.iseag.ch/websites/mis/Kundendokumente/20121015 Beschrieb RZ und Netzwerk SEH.docx
10.10.2012
23.11.2012
Fk, dz
23.11.2012 12:02:00
Beschrieb: RZ und Netzwerk Sek eins Höfe
Seite 2/13
Inhaltsverzeichnis
1.
2.
3.
3.1.
3.1.1.
3.1.2.
3.1.3.
3.1.4.
3.2.
3.2.1.
3.2.2.
3.2.3.
3.2.4.
3.3.
3.3.1.
3.3.2.
3.3.3.
3.4.
3.5.
Ausgangslage .........................................................................................................................................................3
Anforderungen........................................................................................................................................................4
Lösung....................................................................................................................................................................5
System Rechenzentrum .........................................................................................................................................5
Server.....................................................................................................................................................................6
Installierte Software ...............................................................................................................................................7
Backup und Systemwiederherstellung....................................................................................................................7
Security ..................................................................................................................................................................7
Clients ....................................................................................................................................................................7
Liste der installierten Software auf den Clients:......................................................................................................8
Clientcomputer .......................................................................................................................................................9
Notebookwagen ...................................................................................................................................................10
Geplante und budgetierte Desktop Virtualisierung ................................................................................................10
Diverse Dienste ....................................................................................................................................................11
Persönliche E-Mail Adresse ..................................................................................................................................11
Schulportal ...........................................................................................................................................................11
Remotezugriff .......................................................................................................................................................11
Netzwerk ..............................................................................................................................................................12
WLAN ..................................................................................................................................................................12
Beschrieb: RZ und Netzwerk Sek eins Höfe
1.
Seite 3/13
Ausgangslage
Die sek eins höfe ist ein Verbund der drei Sek I-Schulen des Bezirks Höfe an den Standorten Weid Pfäffikon,
Leutschen Freienbach und Riedmatt Wollerau. Die SEH betreibt im Standort Pfäffikon ein eigenes Rechenzentrum
mit 20 leistungsfähigen, zum Teil virtualisierten Servern. Die Hardware wurde im Jahre 2011 und 2012 neu
angeschafft.
Das Netzwerk und das RZ wurden im Sommer 2011 auf Windows Server 2008 R2 und auf der Clientseite auf
Windows 7 und Office 2010 migriert. Nebst den Standardapplikationen werden je nach Schule mehrere
Spezialprogramme für das digitale Klassenzimmer bereitgestellt. Die rund 510 Computer werden mittels eines
Softwareverteilungssystems installiert und gewartet. Dadurch können die Kosten minimiert und der Nutzen
maximiert werden: die meisten PC’s sind identisch installiert und Änderungen können einfach multipliziert
werden. Alle 800 Mitarbeitenden, Lehrpersonen und Lernenden besitzen persönliche Zugangsdaten für das
System und eine eigene E-Mail Adresse. Diverse Ressourcen stehen den Benutzern je nach Berechtigung auch
extern zur Verfügung. Die Komponenten sind bereits ausgelegt für zukünftige Entwicklungen wie BYOD
(Lehrpersonen und Lernende).
Die ISE AG Informatik Solutions Einsiedeln zeichnet sich für Konzeption, Installation und den Second-/Third-LevelSupport verantwortlich und stellt dazu einen einfach zu erreichenden Helpdesk bereit.
Folgend werden die Anforderung der sek eins höfe aufgelistet und anschliessend die Lösung ausführlich
beschrieben.
Beschrieb: RZ und Netzwerk Sek eins Höfe
2.
Seite 4/13
Anforderungen
Dieses Kapitel beschreibt die Anforderungen für das gesamte Netzwerk:
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
Zentrales RZ im Schulhaus Weid Pfäffikon für drei Standorte: Schulhaus Riedmatt, Leutschen und Weid
Hoch redundante VMware-Infrastruktur mit zentralem Storage
Zentrale Securitylösung mit Firewall, separaten Forefront TMG- und UAG-Servern
Zentrale Securitylösung mit Firewall, sep. TMG- und UAG-Server
Einheitliche automatisierte Installation und Konfiguration aller Rechner über die drei Standorte
Zentrale Verteilung von spezifischer Schulsoftware auf ausgewählte Clients
Zentral konfigurierbare Netzwerkkomponenten
Zentral konfigurierbares WLAN nach dem 3-Schalenprinzip: Domänengeräte (schuleigene Devices),
BYOD (erst für Lehrpersonen freigegeben, via Radiusserver mit Login zu freigegebenen
Netzwerkressourcen), Gäste (Ticketdrucker in der Riedmatt)
Zentrales Backup der Daten und Sicherung der Server
Einfach wartbar
Roamingprofiles über das ganze Netzwerk mit einem Login und Single Sign On auch bei Remotezugriff
Persönliche E-Mail Adresse für alle Benutzer
Zusammenarbeits- und Informationsplattform mit E-Learning Szenarien auf Basis von Microsoft
SharePoint
Remotezugriff für alle via SSL-VPN (Microsoft Forefront UAG) mit Terminalserverzugriff
Schneller, zuverlässiger und gefilterter Internetzugang über Swisscom Schulen ans Internet
Geplanter Ausbau zu VDI mit VMware View im Jahr 2013
Beschrieb: RZ und Netzwerk Sek eins Höfe
3.
Lösung
3.1.
System Rechenzentrum
Seite 5/13
Die Sek eins Höfe betreibt gemeinsam ein zentrales Rechenzentrum am Standort Weid. Das Rechenzentrum
wird mittels 10Gbit/s Backbone mit den beiden anderen Standorten – Leutschen und Riedmatt – verbunden. Als
Basis der Serverinfrastruktur dient die bewährte und weit verbreitete Virtualisierungstechnologie von VMware
ESX. Diese wird auf leistungsstarken Serversystemen von HP betrieben. Ein zentrales SAN dient als
Speichersystem für die gesamte RZ-Infrastruktur. Die Storageumgebung ist via Fibrechannel-Infrastruktur mit den
ESX-Servern leistungsstark verbunden.
Der Grossteil der Serverinfrastruktur wird als virtuelle Instanzen betrieben. Zusätzlich gibt es aber noch physische
Server, welche sowohl zentral im Rechenzentrum als auch an Aussenstandorten sind. Als Betriebssystem wird
bei den meisten Serverinstanzen Windows Server 2008 R2 SP1 eingesetzt. Es gibt aber auch Ressourcen,
welche eine Linux-Distribution voraussetzen.
Beschrieb: RZ und Netzwerk Sek eins Höfe
3.1.1.
Seite 6/13
Server
In der folgenden Tabelle wird aufgezeigt, welche Serverinstanzen mit welchen Rollen resp. Funktionen betrieben
werden. Des Weiteren wird die Plattform – physisch oder virtuell – pro Serverinstanz beschrieben.
Servername
Rolle/Funktion
Plattform
physisch
Bemerkung
virtuell
SEHDC01
Active Directory, DNS, DHCP, KMS
SEHDC02
Active Directory, DNS

Standort: Weid
SEHDC03
Active Directory, DNS

Standort: Leutschen
SEHDC04
Active Directory, DNS

Standort: Riedmatt
SEHEX01
Exchange 2010

SEHAS01
Symantec EndPoint Management

SEHRCA01
Root CA

SEHICA01
Immediate CA

SEHTS01
Terminalserver

SEHSCCM01
System Center Configuration
Manager 2007

SEHPS01
Portalserver

SEHSQL01
SQL Server

SEHWM01
WinMedio

SEHPR01
Printserver

SEHWFS01
Fileserver Weid

SEHLFS01
Fileserver Leutschen

SEHRFS01
Fileserver Riedmatt

SEHVC01
VMware vCenter Server

SEHVW01
VMware View Connection

Desktopvirtualisierungsserver (intern)
SEHVWS01
VMware View Security

Desktopvirtualisierungsserver (Internet)
SEHUAG01
Microsoft UAG 2010

Zentraler Zugriffspunkt
vom Internet
SEHTMG01
Microsoft TMG 2010

Zugriffssteuerung von
intern nach Internet
SEHESX01
VMware ESX Host

SEHESX02
VMware ESX Host

SEHESX03
VMware ESX Host


Mailserver für das
gesamte Sek eins Höfe
Root Zertifizierungsstelle
ist standardmässig
ausgeschaltet.
Betriebssystem- und
Softwareverteilung
Druckserver für das
gesamte Sek eins Höfe
Beschrieb: RZ und Netzwerk Sek eins Höfe
3.1.2.
Seite 7/13
Installierte Software
Die folgende Auflistung zeigt die Programme, welche auf den Servern installiert ist:
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
3.1.3.
Microsoft Windows Server 2008 R2 SP1
Microsoft SQL Server 2008
Microsoft Exchange 2010
Microsoft Office SharePoint Server 2007
Microsoft Forefront UAG 2010
Microsoft Forefront TMG 2010
WinMedio
Symantec Endpoint Protection Manager
Symantec BackupExec
HP ProCurve Manager
VMware ESX
VMware View Connection
VMware View Security
VeeamBackup
APC PowerChute Business Edition
Backup und Systemwiederherstellung
Das Backup und die Systemwiederherstellung sind im Netzwerk der Sek eins Höfe zweigleisig aufgebaut. Als
Grundlage dient eine Filelevelbackup-Strategie auf Basis von Symantec BackupExec. Auf einem zentralen
Backupserver wird mit der Software Symantec BackupExec zuerst ein Backup-to-Disk Job mit einer
vordefinierten Auswahlliste durchgeführt. Im Anschluss wird das Ergebnis auf ein Tape dupliziert. Somit kann die
Sicherung auf Disk inhouse und das Tape ausser Haus gelagert werden.
Als zweite Backup- und Systemwiederherstellungsmethode wird die virtuelle Umgebung mittels Veeam Backup
and Replication gesichert. Diese Software erstellt aufgrund der Snapshottechnologie konsistente Systemabbilder
der virtuellen Serverinstanzen und sichert diese als Datei auf einem Speichermedium ab. Somit kann bei einer
Störung oder Ausfall die gesamte virtuelle Serverinstanz wiederhergestellt werden. Diese Backups werden intern
auf dem Veeam-Backupserver des SRZA zentral gelagert und sporadisch überschrieben.
Sporadisch werden von den physischen Servern konsistente Systemabbilder mittels Acronis TrueImage erstellt.
3.1.4.
Security
Firewall: Als Firewall wurde im Sommer eine moderne Fortigate 300C inkl. Livesecurity in Betrieb genommen.
Sie ist zuständig für die Zugriffsregeln. Zusätzlich wird der ausgehende Internetverkehr aus dem Schulnetz via
einen Microsoft Forefront TMG-Server geregelt und kontrolliert. Alle Remotezugriffe werden durch einen
Microsoft Forefront UAG-Server kontrolliert, identifiziert und geregelt.
Virenschutz: Der Virenschutz im gesamten Netzwerk wird durch die Symantec Protection Suite Enterprise
sichergestellt.
SPAM-Schutz: Symantec Mail Security
Zugriffsberechtigungen: Die Zugriffsberechtigungen sind strikt geregelt. Sämtliche Logins inkl. Berechtigungen
werden via unser eigenes Tool ISE IntranetAdmin erstellt, um Fehler zu vermeiden. Alle Logins sind mit StrongKennwörtern gesichert.
3.2.
Clients
Alle Clients (Notebook und PCs) sind mit Windows 7 Enterprise installiert und haben diverse Standard- und
Schulprogramme installiert. Die installierte Software unterscheidet sich für die Lehrpersonen- und
Lernendengeräte.
Die Installation der Clients erfolgt mehrheitlich automatisch via SCCM 2007 (System Center Configuration
Manager 2007). Zuerst wird das Betriebssystem mit allen Treibern und anschliessend die zugewiesene Software
installiert.
Ein Client muss mit dem Computernamen, der MAC-Adresse und der GUID im SCCM-Manager erfasst sein und
den entsprechenden Sammlungen zugewiesen werden, damit bekannt ist welche Software installiert werden
Beschrieb: RZ und Netzwerk Sek eins Höfe
Seite 8/13
muss. Ist ein Client erfasst, kann die Betriebssysteminstallation gestartet werden, indem der Client bereits
während dem Bootvorgang am Netzwerk angemeldet wird.
Die Lehrpersonen können während dem ganzen Jahr neue Softwarevorschläge vorbringen. Die Applikation wird
daraufhin überprüft und entsprechend vorbereitet, damit Sie über den SCCM-Server verteilt und auf den Clients
im sogenannten „Silent-Mode“ installiert werden kann.
Die Installation der PCs in der Administration mit Windows 7 Enterprise erfolgt via den Windows
Bereitstellungsdienst. Die benötigte Software wird mittels GPO (Gruppenrichtlinien) und MSI-Paketen, die im
„Silent-Mode“ ausgeführt werden, installiert bzw. ausgerollt.
Bei einigen Geräten mit spezieller Lernsoftware müssen zum Teil im Anschluss noch einige Nachkonfigurationen
von Hand vorgenommen werden.
3.2.1.
Liste der installierten Software auf den Clients:
Software
Zuteilung
Adobe Creative Suite Design Premium 5.5
Alle
Adobe FlashPlayer 11
Alle
Adobe PDF Professional X
Alle
Adobe Reader X
Alle
Adobe Shockwave Player 11
Alle
Apple iTunes 10.7
Alle
Apple QuickTime Player 7
Alle
Audacity 1.2.6
Alle
Cinderella Mathematik
Alle
DotNet Framework 2.5
Alle
DotNet Framework 3.5
Alle
Envol 5-9
Alle
Google Picasa 3.9
Alle
Google SketchUp 8.0
Alle
Mathbuch 7-9
Alle
Medialesson Nationalsozialismus/Imperialismus &
1. Weltkrieg
Alle
Microsoft Mathematics 4
Alle
Microsoft Office Professional Plus 2010
Alle
Microsoft UAG Offline Client 1.0
Alle
Musition 4
Alle
PC Lernkartei 1-7
Alle
PDF Creator 1.5
Alle
Phase5 HTML Editor 5.6
Alle
Profax Lerncenter
Alle
Real Alternative Player 2.02
Alle
Schweizer Weltatlas interaktiv
Alle
Beschrieb: RZ und Netzwerk Sek eins Höfe
3.2.2.
Seite 9/13
Stop Motion Pro 6.5
Alle
Sun Java JRE 7.7
Alle
Symantec Endpoint Protection Client 11.0.6
Alle
Tastaturschreiben 1.0
Alle
Windows DVD Maker
Alle
Windows Live Movie Maker 2011
Alle
Windows Media Player
Alle
Kara Programmierungsumgebung
Geräte Informatikzimmer /Notebookwagen
TipTopf
Hauswirtschaft
eInstruction Interwrite Workspace 8.9
Lehrpersonengeräte
Fast Stone Capture 5.3
Lehrpersonengeräte
Google Earth 5.2
Lehrpersonengeräte
Hot Potatoes 6.3
Lehrpersonengeräte
Microsoft Visio Premium 2010
Lehrpersonengeräte
RothSoft LehrerOffice Easy 2012-10
Lehrpersonengeräte
Skype 5.3
Lehrpersonengeräte
Zarb 4
Lehrpersonengeräte
NetOp School Teacher 6.2.2
Lehrpersonengeräte Informatikzimmer
SDP USB Viewer 850X
Lehrpersonengeräte Riedmatt
Wacom PenDriver
Lehrpersonengeräte Riedmatt
SDP USB Viewer 900DXAP
Lehrpersonengeräte Weid/Leutschen
Jclic
Lehrpersonengeräte
Macmillian New inspiration English
Manuell installiert, Individuell
OmniPage Pro
Manuell installiert, Individuell
Robolab
Manuell installiert, Individuell
Corel VideoStudio Pro X4 Education
Multimedia Geräte Leutschen/Weid
NetOp School Student 6.2.2
Schülergeräte Informatikzimmer und Notebookwagen
Clientcomputer
Alle Computer im Sek eins Höfe sind an der Domäne angemeldet. Die Anbindung ans Netzwerk erfolgt in der
Regel mit einem Durchsatz von 1 Gbit (Weid und Leutschen) oder 100 Mbit (teilweise Riedmatt), was von der
hausinternen Verkabelung abhängig ist.
Es wird zwischen Lernenden- und Lehrpersonengeräten unterschieden, da die Lehrpersonengeräte einige
Programme zusätzlich zur Verfügung haben.
Für den interaktiven Unterricht sind alle Lehrpersonencomputer an einem Beamer angeschlossen. Weiter stehen
folgende Geräte zur Verfügung:
•
•
•
Samsung Digitalpresenter
InterWrite Board (Schulhäuser Leutschen und Weid)
Wacomboard (Schulhaus Riedmatt)
Beschrieb: RZ und Netzwerk Sek eins Höfe
3.2.3.
Seite 10/13
Notebookwagen
Die Schulhäuser sind mit Notebookwagen ausgestattet, welche von Zimmer zu Zimmer verschoben werden
können. Es werden eine freie Netzwerkdose (1 GB) und ein Stromanschluss benötigt.
Auf jedem Notebookwagen hat es ca. 20 Notebooks (HP Elitebook 8550p), einen 25 Port Giga-Switch und einen
DualBand-AccessPoint mit zwei Antennen, der einen Durchsatz von 1000Mbit hat.
Beim Aufstarten verbinden sich die Notebooks automatisch mit dem Access Point auf dem Notebookwagen und
sind somit mit der Domäne verbunden. Es wird eine WPA2-Verschlüsselung verwendet.
Da die Möglichkeit besteht die Notebooks in den Notebookwagen an das Netzwerk anzuschliessen, kann man so
die Notebooks auch via WakeOnLan warten.
3.2.4.
Geplante und budgetierte Desktop Virtualisierung
Die Sek eins Höfe hat den Einsatz einer virtuellen Desktopinfrastruktur beschlossen. Im Grundprinzip sollen die
bestehenden Clientgeräte (hardwaremässig) weiterverwendet werden können. Im Hintergrund greifen die
Clients mittels Software jedoch auf das zentrale RZ und die dabei integrierte virtuelle Clientinfrastruktur zu. Somit
können die benötigten Ressourcen optimal ausgenutzt werden. Desweiteren sollen Lehrpersonen, Mitarbeitende
und auch die Lernenden die Möglichkeit erhalten standortunabhängig auf die Umgebung der Sek eins Höfe
zugreifen zu können. Die eingesetzten Mobileclients können dabei verschiedene Betriebssysteme aufweisen,
müssen jedoch den dafür zur Verfügung stehenden VMware View Client installiert haben.
Es werden zur Realisierung zwei neue ESX-Hosts mit eigenem SAN-System (Anschluss via FC) benötigt. Diese
müssen die Last von ca. 150 gleichzeitig genutzten virtuellen Desktops tragen können. Deshalb müssen
leistungsstarke Hosts angeschafft und in Betrieb genommen werden:
SEHESX04
CPU
Dual Quadcore Intel Xeon
RAM
mind. 144 GB
Netzwerk
2 x 10Gbit/s
FibreChannel HBA
1 x 8Gbit/s FC
Beschrieb: RZ und Netzwerk Sek eins Höfe
SEHESX05
SEHSAN02
Seite 11/13
CPU
Dual Quadcore Intel Xeon
RAM
mind. 144 GB
Netzwerk
2 x 10Gbit/s
FibreChannel HBA
1 x 8Gbit/s FC
Controller
Dual Controller Fibrechannel
Disk
24 x 600GB SAS-2
3.3.
Diverse Dienste
3.3.1.
Persönliche E-Mail Adresse
Jeder Benutzer besitzt eine persönliche E-Mail Adresse. Die E-Mail Nachrichten können entweder an
Domänengeräten über das lokal installierte Outlook oder von extern über Outlook Web App (per UAG) abgerufen
werden. Lehrpersonen und Mitarbeitende der Administration haben weiter die Möglichkeit, ihr Postfach per
Exchange ActiveSync auf ihr mobile Device zu synchronisieren.
Die E-Mail Infrastruktur wird mit zwei Microsoft Exchange 2010 Servern betrieben. Symantec Mail Security for
Exchange sorgt für die Spam- und Virenabwehr.
3.3.2.
Schulportal
Die sek eins höfe unterhält ein eigenes Schulportal als Informations- und Zusammenarbeitsplattform auf der
Basis des Microsoft Office SharePoint Servers 2007. Es werden Dokumente ausgetauscht und bearbeitet,
Mitteilungen, Kalender und Absenzen geführt und mit dem Addon ISE School E-Learning Szenarien realisiert. Alle
Benutzer sehen durch die AD-Sicherheitsgruppen nur diejenigen Inhalte, die sie sehen bzw. bearbeiten dürfen.
Auf den Schulportalen stehen ebenfalls umfangreiche Anleitungen und ein Ticketsystem für die Meldung von
Problemen und Störungen zur Verfügung. Die Tickets werden durch die Mitarbeitenden der ISE AG behandelt.
3.3.3.
Remotezugriff
Alle Mitarbeitenden, Lehrpersonen und Lernende können sich mit ihren persönlichen Zugangsdaten extern über
das Internet am Netzwerk der SEH anmelden. Für den externen Zugriff wird die Forefront UAG-Technologie
eingesetzt. Auf einem Portal stehen je nach Zugriffsberechtigung unterschiedliche Ressourcen – Outlook Web
App, SharePoint Schulportal, Terminalserver und File Access – zentral zur Verfügung, die das orts- und
zeitunabhängige Arbeiten erlauben.
Der UAG gewährleistet ausgenommen auf den Terminalserver Single Sign On auf die Ressourcen.
Beschrieb: RZ und Netzwerk Sek eins Höfe
3.4.
Seite 12/13
Netzwerk
Die Netzwerk-Infrastruktur baut auf HP-Switches auf. Hierbei steht der Core-Switch im RZ Weid. Dieser ist
zuständig für die Einstellungen der virtuellen Netzwerke (VLAN). Alle Verbindungen zwischen den einzelnen
Switches sind mit 10 Gbit/s über LWL-Kabel umgesetzt. Die Verbindungen zwischen den Standorten laufen
ebenfalls mit 10Gbit/s über LWL-Kabel, also Weid – Leutschen - Riedmatt. Der gesamte Datenverkehr von der
Riedmatt wird über den Hauptswitch des Leutschen ins RZ Weid abgewickelt.
Die Trennung der Standorte erfolgt durch VLANs. Die unterschiedlichen VLANs werden durch den DHCP-Server
mit unterschiedlichen IP-Adressen versorgt.
3.5.
WLAN
Das Wireless Konzept der Sek eins Höfe wurde im Sommer 2012 erneuert. Es wird zwischen drei verschiedenen
W-LAN-Netzen unterschieden:
SEH
Verbindung zur Domäne, Zugriff nur für Domänengeräte
Es wird eine WPA2-Verschlüsselung verwendet
Pro Standort wird ein VLAN verwendet. Die Geräte erhalten pro VLAN unterschiedliche
IP-Adressen vom DHCP-Server
SEHown
Für „Bring your Own“ Geräte der Lehrpersonen und Mitarbeitenden
Es wird ein VLAN für alle Standorte verwendet. Die IP-Adressen werden durch die
Firewall zugeteilt.
Die Anmeldung erfolgt via Radius-Server und die Clients werden mit der DMZ verbunden.
Zugriff auf Schulressourcen besteht nur via den Forefront UAG
SEHgast
Für Gastdozenten oder Lernende, welche ihre Geräte mitbringen und einen temporären
Zugriff erhalten.
Es wird ein VLAN für alle Standorte verwendet. Die IP-Adressen werden durch die
WLAN-Management Konsole zugeteilt.
Die Anmeldung erfolgt mittels zugeteiltem Benutzername und Kennwort (Ticketdrucker),
Beschrieb: RZ und Netzwerk Sek eins Höfe
Seite 13/13
welches zeitlich geregelt ist. Die Clients werden in die DMZ verbunden. Zugriff auf
Schulressourcen besteht nur via den Forefront UAG
ISE AG Informatik Solutions Einsiedeln
Sindy Vettor/Freddie Eichmann/Anton Keller/Franz Kälin
17.10.2012