Erfahrungen mit der OS-X-Server-App

Bei einem Kunden mit insgesamt 15 Computerarbeitsplätzen sollte eine Client/Server-Umgebung auf Apple-Basis geschaffen werden. Zu Beginn des Projektes fanden wir bei unserem Kunden eine reine Mac-Umgebung (Mac Mini, Macbook, iMac) vor. Die Daten wurden zentral auf einem QNAP NAS gespeichert. Die Benutzer waren in einer simplen Rechtestruktur lokal auf dem QNAP NAS angelegt.

Da der Kunde eine Client/Server Software benötigte deren Serverkomponente ein Apple-Betriebssystem voraussetzt, wurde hierfür ein Mac Pro (2014) angeschafft. Über einen weiteren Mac Pro sollte mit Hilfe der OS-X-Server-App für Mavericks eine Benutzerverwaltung sowie Netzlaufwerke mit einer Berechtigungsstruktur nachgerüstet werden. Die technischen Informationen rund um die OS-X-Server-App bestätigten alle Anforderungen. Als Datenspeicher wurde neben den beiden Mac Pro zudem ein 4-Bay Thunderbolt Storage System von Apple angeschafft.

In der Praxis stellte sich die Umstellung leider problematischer dar als zunächst erwartet. Konkret ergaben sich folgende Probleme:

  • Nach dem Anlegen der Benutzer konnten sich diese nicht authentifizieren/anmelden
  • Es war möglich Freigaben anzulegen, es konnte allerdings kein Benutzer darauf zugreifen
  • Berechtigungen auf die Freigaben konnten gesetzt werden, sie wurden aber nicht übernommen

Das einzige Feature, das zuverlässig funktionierte, war der DHCP-Server. Selbst der DNS-Server funktionierte nicht wie gewünscht.

Im Apple-Support-Forum fanden sich viele Beiträge zu dieser Problematik (https://discussions.apple.com/thread/5509703?tstart=0).

Auch der Support seitens Apple und die mehrmalige Neuinstallation des kompletten Mac Pro führten nicht dazu, die gewünschten Funktionen in Betrieb nehmen zu können.

Aufgrund der beschriebenen Fehlfunktionen, wurde letztendlich auf die OS-X-Server-App verzichtet. Es wurden alle Benutzer lokal auf dem Mac Pro mit dem angeschlossenen Storage-System angelegt und die Berechtigungen mit den lokalen Benutzern gesetzt. DNS und DHCP wurden auf dem Router eingerichtet.

In der Praxis zeigte sich in der Folgezeit bisher lediglich ein erwähnenswertes Problem: Berechtigungen können zwar über die GUI in OS X für die freigegebenen Ordner vergeben werden, sie werden allerdings nicht vererbt. Möchte man dies tun, muss man mittels dem Befehl

sudo chmod +a „user:USERNAME allow list, add_file, search, add_subdirectory, delete_child, readattr, writeattr, readextattr, writeextattr, readsecurity, file_inherit, directory_inherit“ /Volumes/PromiseRAID/Freigabe

die Berechtigungen über das Terminal für jede Freigabe / jeden Benutzer händisch setzen. Bei entsprechender Menge der vorhandenen User oder einer größeren Komplexität, handelt es sich hierbei um einen nicht zu unterschätzenden Aufwand.

[Projekt] Migration einer ISDN-Telefonanlage auf Voice over IP (VoIP)

Screenshot der Swyx-Software

Im heutigen Blogeintrag behandeln wir den Abschied von klassischer ISDN-Telefonie und den damit einhergehenden Umstieg auf IP-Telefonie.

Es handelt sich um folgendes Szenario, das wir bei einem Kunden vorgefunden haben:

  • ISDN-Telefonanlage eines französischen Herstellers mit 8 ISDN-Anschlüssen
  • 50 Systemtelefone
  • Mehrere tragbare DECT-Telefone
  • Ein Faxgerät
  • Anbindung einer Türsprechanlage per a/b Schnittstelle
  • Diverse Gruppenruffunktionen
  • Anrufweiterschaltungen und individuelle Wartemusik
  • spezielle Anrufbeantworter an verschiedenen Tagen bzw. verschiedenen Uhrzeiten

In der Planungsphase wurden Angebote und Präsentationen verschiedener Telefon- und VoIP-Anbieter eingeholt, letztlich fiel die Entscheidung auf ein Produkt, das seit einigen Jahren bei einem weiteren Kunden erfolgreich im Einsatz ist. Es handelt sich um eine IP-Kommunikationslösung aus dem Hause Swyx.

In der Umsetzungsphase erfolgte die Grundinstallation der Software auf einem virtuellen Windows 2008 R2 Server durch die Telefongesellschaft. Darüber hinaus wurden ein ISDN-Gateway (der aktuelle Anschluss ist noch auf ISDN-Basis und wird in ein bis zwei Jahren auf IP umgestellt) und ein a/b-Gateway im Serverraum eingebaut. Es besteht die Möglichkeit einer Active Directory-Integration, die wir jedoch nicht gewählt haben, da sehr viele Telefone nicht von einer Person (die jeweils einen eigenen AD-Account hat) sondern von mehreren Personen mit gleicher Rufnummer abwechselnd genutzt werden.

Vor der Konfiguration der Telefonanlage ist es ratsam, für die Telefone feste DHCP-Adressleases im DHCP-Server zu definieren. Die Konfiguration der Telefonanlage erfolgt über eine MMC-Konsole und ist sehr übersichtlich gehalten

Zunächst wird eine Trunk-Gruppe angelegt, die die Verbindung zur „Außenwelt“ herstellt. Momentan läuft diese – wie bereits erwähnt – über den ISDN-Gateway. Sobald die Umstellung auf einen IP-basierten Anschluss abgeschlossen ist, lässt sich hier (siehe Grafik 1) eine Verbindung zum SIP-Gateway in wenigen Klicks einrichten und anschließend die alten Trunks einfach löschen. Schließlich muss nur noch der ISDN-Gateway aus dem Rack ausgebaut werden.

Danach erfolgt das Anlegen der Nutzer und der verschiedenen Gruppen, die später für Gruppenrufe usw. genutzt werden können. Es gibt eine große Bandbreite von Konfigurationsmöglichkeiten hinsichtlich Berechtigungen (bspw. darf ein Nutzer nur innerdeutsch telefonieren) und Beziehungen zwischen Benutzern. Gemäß Kundenwunsch haben wir noch einige Call-Routings definiert, die unter anderem Anrufe außerhalb der Geschäftszeiten auf die Mailbox weiterleiten oder – falls alle Anschlüsse belegt sind – diese auf eine weitere Mailbox umleiten.

Auf den Computern ist ein Softclient installiert, der angenehmes Telefonieren über das Headset möglich macht. Ein weiterer Vorteil ist die Outlook-Integration: im Client sind sämtliche Kontakte aus Outlook zu sehen. Trotz des Softclients haben wir an häufig genutzten Arbeitsplätzen auf Wunsch des Kunden einfache Telefone verteilt, die per PoE mit Strom versorgt werden.

Die analogen Mobilgeräte haben wir durch SIP-Clients auf den Smartphones ersetzt, was sich bisher in der Praxis bewährt hat.

Die Türsprechanlage war bereits über eine Doorline-a/b-Schnittstelle mit der Telefonanlage verbunden und musste lediglich an den a/b-Gateway der neuen Lösung angeschlossen werden.

Die Praxiserfahrung zeigt bisher, dass die Telefonie zuverlässig und in sehr guter Sprachqualität arbeitet. Ein weiteres nützliches Feature für die „out-of-office“-Arbeit ist die VPN-Einwahl in das Firmennetz, welche die Möglichkeit bietet, über den Softclient so zu telefonieren (d.h. mit der „normalen“ Rufnummer), als wäre man gerade an seinem Arbeitsplatz.

[Projekt] Standortvernetzung per VPN

In diesem Eintrag präsentieren wir Ihnen die bei einem Kunden kürzlich durchgeführte Standortvernetzung mittels verschlüsselter VPN-Verbindungen; dadurch ist eine sichere Kommunikation bzw. Vernetzung von Außenstellen mit der Firmenzentrale möglich. Für den Benutzer sind die zugrunde liegenden Verbindungen vollkommen transparent: Es fühlt sich an, als wäre man direkt mit dem Netzwerk am Hauptstandort verbunden.

Für Außendienstmitarbeiter, Arbeiten zu Hause oder für den Zugriff aus Hotels haben wir zusätzlich die Möglichkeit implementiert, sich per VPN-Client zu verbinden und sicher auf sensible Daten zuzugreifen.

Um das Projekt umzusetzen, fiel die Wahl auf LANCOM VPN-Router (1781A) in den Niederlassungen, um den bisherigen Router in der Zentrale (1721+ VPN) zu ergänzen. Sämtliche Standorte verfügen über feste IP-Adresse und über ausreichend schnelle Internetverbindungen; die Zentrale ist redundant über VDSL und Kabel angebunden.

Nach der Vorkonfiguration der Router haben wir ein site-to-site VPN aufgebaut, welches mit modp-1024 verschlüsselt ist. Da die Niederlassungen nicht miteinander verbunden sein sollen, sondern nur sternförmig auf die Zentrale zugreifen, wurde die Option der kompletten Vernetzung nicht gewählt. Zudem wurden diverse Firewallregeln erstellt, so dass nur bestimmte Dienste (Webserver Intranet, Dateidienste, Terminaldienste, usw.) aus dem Netz der Niederlassungen genutzt werden können.

Abschließend zur Veranschaulichung eine Visio-Grafik:

Blog_2

[Projekt] Installation und Einrichtung virtuell getrennter Netzwerkhardware mit WLAN

Heute stellen wir Ihnen ein kürzlich abgeschlossenes Projekt vor. Die Anforderungen des Kunden an unsere Netzwerklösung war die komplette Einrichtung des Netzwerkes in einem Neubau. Hierbei war besonders wichtig, dass den Gästen ein Internetzugang sowohl über Kabel als auch drahtlos zur Verfügung steht. Zudem sollte das komplette Firmenareal inklusive Firmengebäude und Montagehalle abgedeckt werden (ca. 2000-2500 m²).

Wir empfahlen eine vollständige logische Trennung zwischen Büronetzwerk und Gastzugang, die über passende Hardware mit wenigen Geräten – somit kostengünstig und stromsparend – realisiert werden kann. Darüber hinaus stand die Verschlüsselung beider drahtlosen Netzwerke (WLAN) im Vordergrund.

Um diese Anforderungen umzusetzen, fiel die Wahl auf Netzwerkhardware aus dem Hause LANCOM. Wir setzten dabei folgende Komponenten ein:

  • LANCOM 831A Router
  • LANCOM GS 2326p PoE-fähiger Layer2 Switch
  • LANCOM L-321agn Access Points in hinreichender Anzahl nach WLAN-Messung des Areals

Wir haben zwei verschiedene virtuelle LANs (vLAN) definiert, zum einen ID 2 für das Büronetzwerk und zum anderen ID3 für die Gästezugriffe. Am Switch sind zwei Trunks zum Router eingerichtet, worüber am Router beide Netze per Schnittstellen-TAGs getrennt werden.

Weiter ist am Switch an einigen Ports PoE aktiv, um die Access Points mit Strom zu versorgen. Die Access Points hängen auch an Trunk-Ports und auf ihnen sind ebenfalls beide vLANs eingerichtet, um die Segmentierung an die WLAN-Endgeräte durchzureichen.

Zum Abschluss dieses Blogeintrages noch eine kleine Visio-Skizze, die den ganzen Aufbau verdeutlicht.

Zeichnung1

Bis zum nächsten Mal!