Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- invis_server_wiki:whatis_invis_server [2019/11/24 10:55]
flacco [Router]
+++ invis_server_wiki:whatis_invis_server [2020/01/16 15:01] (aktuell)
flacco [Email & Groupware]
@@ Zeile 59: / Zeile 59: @@
 invis-Server sind tatsächlich als "rundum-sorglos Paket" für kleine Unternehmen gedacht. Dabei liegt der Fokus auf hoher Funktionalität bei überschaubaren Kosten.
-===== Internetzugang =====
+===== Überblick =====
 invis Server arbeiten prinzipiell als Router/Gateway deren Firewall so ausgelegt ist, dass sie ein dahinter liegendes Netzwerk vor Zugriffen aus dem Internet schützen. D.h. es ist prinzipiell der invis Server, der den Zugang des gesamten Netzwerkes zum Internet regelt.
@@ Zeile 78: / Zeile 78: @@
   * Im Router-Betrieb arbeitet ein solcher Router als DHCP- und DNS-Server, D.h. er stellt ein eigenes lokales Netzwerk bereit mit dem der invis-Server mit seiner "externen" Netzwerkschnittstelle verbunden ist. Diese Betriebsart ermöglicht es das Netz zwischen invis-Server und vorgeschaltetem Router als Netzwerk für "Gäste" anzubieten. D.h. Gastbenutzer können mit Ihren Geräten ins Internet, haben aber keine Möglichkeit auf Ressourcen des lokalen Unternehmensnetzes zuzugreifen.
-  * In der zweiten Betriebsart (üblich bei Business-Verträgen der Kabelnetzbetreiber wie etwa Unitymedia) stellt der Internet-Provider über den Router ein "kleines" IP-Netzwerk mit echten im Internet gültigen IP-Adressen bereit. Eine dieser Adressen wird an der externen Schnittstelle des invis-Servers konfiguriert. Damit ist der invis-Server direkt mit dem Internet verbunden und der Betrieb eines Gastnetzes ist nicht möglich.
+  * In der zweiten Betriebsart (üblich bei Business-Verträgen der Kabelnetzbetreiber wie etwa Unitymedia) stellt der Internet-Provider über den Router ein "kleines" IP-Netzwerk mit echten im Internet gültigen IP-Adressen bereit. Eine dieser Adressen wird an der externen Schnittstelle des invis-Servers konfiguriert. Damit ist der invis-Server direkt mit dem Internet verbunden und der Betrieb eines Gastnetzes ist nicht möglich. In dieser Betriebsart entfällt die Einrichtung von Portweiterleitungen.
+//**Achtung:** Es darf keine Verbindung zwischen Router und zentralem Netzwerk-Switch geben.//
+Erhält die externe Schnittstelle des invis-Servers seine IP-Adresse per DHCP vom Router, muss am Router dafür Sorge getragen werden, dass der invis-Server immer die selbe IP-Adresse erhält -> feste Reservierung. Dies ist die Grundvoraussetzung, dass die Dienste die ein invis-Server im Internet anbietet auch zuverlässig erreicht werden können. Die Adresse die der invis-Server vom Router erhält ist das Ziel einiger Portweiterleitungen am Router. Dazu später mehr.
+Alternativ können manche Router eine nachgeschaltete IP-Adresse als [[http://www.heise.de/glossar/entry/Exposed-Host-396933.html|"exposed Host"]] führen. In diesem Fall erübrigt sich die Einrichtung von Portweiterleitungen, ist aber weniger sicher.
+Um einen invis Server möglichst einfach via Internet erreichbar zu machen ist ein fester im Internet gültiger Name für den Server erforderlich. Es bietet sich die Nutzung eines DynDNS-Dienstes an. Gängige Router unterstützen solche Dienste direkt.
+Wer einen eigenen DNS-Server im Internet betreibt, kann sich alternativ eine Subdomain einrichten und diese direkt per DDNS bei der Internet-Einwahl aktualisieren. Das auf dem Server alle 10 Minuten ausgeführte Script //**inetcheck**// kann die Adresse automatisch im zuständigen Nameserver per DDNS aktualisieren.
+//**Achtung:** Einige ältere Router des Herstellers AVM blockieren im Standard-Setup manche ausgehenden DNS-Abfragen, was etwa Schwierigkeiten mit DDNS machen kann. Nicht bei allen Geräten kann die Konfiguration so geändert werden, dass der Betrieb eines invis-Servers nicht beeinträchtigt wird. Dieses Verhalten haben wir allerdings in den letzten Jahren nicht mehr beobachtet.//
+Wird im lokalen Netzwerk ein WLAN benötigt, muss dieses mit WLAN-Accesspoints realisiert werden.
-Der für den Internetzugang vorgeschaltete Router und die externe Zone bilden ein eigenständiges Netz welches als Netz für "Gäste" genutzt werden kann. Dies ermöglicht Gästen den Zugang zum Internet, ohne auf Ressourcen des lokalen Netzes zugreifen zu können. Eine etwaig vorhandene WLAN-Funktion des Routers kann für den gleichen Zweck genutzt werden.
+==== Mobile Geräte ====
-//**Achtung:** Es darf keine Verbindung zwischen Router und zentralem Netzwerk-Switch geben.//
+**Punkt 2 in der Abbildung**
-Sinnvoll ist es in diesem Fall, den Router als DHCP-Server für dieses Zwischennetz zu betreiben und die Schnittstelle "extern" des Server als DHCP-Client zu konfigurieren. Achten Sie darauf, dass Sie im Router die per DHCP an den invis-Server vergebene Adresse als feste Reservierung einrichten.
+invis-Server bieten, je nach eingesetzter Groupware, die Synchronisation von Groupware-Daten (Email, Termine, Aufgaben und Kontakte) an. Zum Einsatz kommt dabei das ActiveSync Protokoll. ActivieSync wiederum nutzt HTTPs auf Port 443. D.h. Port 443 muss an den invis-Server weitergeleitet werden, damit die Synchronisation möglich ist.
-//**Achtung:** Ändern Sie bitte niemals die Datei /etc/resolv.conf des invis Servers und sorgen Sie dafür, dass dies auch nicht automatisch per DHCP geschieht.//
+==== Clients ====
-Sollen Dienste des invis-Servers auch via Internet erreichbar sein, muss ein vorhandener Router so konfiguriert werden, dass der invis Server als [[http://www.heise.de/glossar/entry/Exposed-Host-396933.html|"exposed Host"]] geführt oder für jeden Dienst eine Port-Weiterleitung eingerichtet wird. Beachten Sie hierbei die auf invis Servern üblicherweise von den Standards abweichenden Ports für HTTPS und SSH.
-Um einen invis Server möglichst einfach via Internet erreichbar zu machen ist ein fester im Internet gültiger Name für den Server erforderlich. Es bietet sich die Nutzung eines DynDNS-Dienstes an. Gängige Router unterstützen solche Dienste direkt.
+**Punkt 3 in der Abbildung**
-Wer einen eigenen DNS-Server im Internet betreibt, kann sich alternativ eine Subdomain einrichten und diese direkt per DDNS bei der Internet-Einwahl aktualisieren. Das auf dem Server alle 10 Minuten ausgeführte Script //**inetcheck**// kann die Adresse automatisch im zuständigen Nameserver per DDNS aktualisieren.
+Lokale Clients werden mittels eines Domänenbeitritts mit der ActiveDirectory Domäne des invis-Servers verbunden. Möglich ist dies mit allen gängigen Betriebssystemen (Windows, Linux, MacOS). Speziell für Linux-Clients auf denen openSUSE Leap genutzt wird bieten wir ein eigenes **invis-Client-Paket** an, mit dem die Integration sehr einfach möglich ist. Das Paket unterstützt auch die Integration von zusätzlichen  Linux-Fileservern als Memberserver in die Domäne.
-//**Achtung:** Einige ältere Router des Herstellers AVM blockieren im Standard-Setup manche ausgehenden DNS-Abfragen, was etwa Schwierigkeiten mit DDNS machen kann. Nicht bei allen Geräten kann die Konfiguration so geändert werden, dass der Betrieb eines invis-Servers nicht beeinträchtigt wird. Dieses Verhalten haben wir allerdings in den letzten Jahren nicht mehr beobachtet.//
+==== Mobiles Arbeiten / Home-Office ====
-Wird im lokalen Netzwerk ein WLAN benötigt, muss dieses mit WLAN-Accesspoints realisiert werden.
+**Punkt 4 in der Abbildung**
+Notebooks oder PCs "zuhause" können via VPN mit dem invis-Server und dem dahinter liegenden lokalen Unternehmensnetz verbunden werden um dessen Ressourcen zu nutzen. Zum Einsatz kommt hier OpenVPN. Clients dafür gibt es für alle gängigen Betriebssysteme.
+Unabhängig von der VPN-Verbindung ist die Nutzung der auf einem invis-Server installierten Webapplikationen, wie etwa die Kopano-Webapp oder Dokuwiki. Diese können via HTTPs von einem Browser teils direkt, teils indirekt nach einer Anmeldung am invis-Portal genutzt werden.
+==== Filial-Server ====
-Die folgenden Grafiken verdeutlichen die beide möglichen Szenarien. Offiziell unterstützt wird allerdings nur noch die Variante "Router".
+**Punkt 5 in der Abbildung**
-----
-  * **Variante "Router"**
+Auch der Filial-Server ist, genau wie der invis-Server selbst, als Router ausgelegt. Sprich, für dessen Netzerk-Integration gilt das gleiche wie zuvor für den invis-Server beschrieben. Denkbar ist allerdings auch ihn nicht als Router, sondern als einfaches Netzwerkmitglied hinter dem Hauptrouter zu betreiben. D.h. in dieser Betriebsart ist der Filial-Server selbst kein Router mehr. Inwieweit diese zweite Möglichkeit als Option in das Setup einfließt steht bisher nicht fest.
-{{ :invis_server_wiki:invis_im_netz_2.png?600 |}}
+Fester Bestandteil des Setups ist der Aufbau einer VPN-Verbindung zum Netz des Hauptservers, sowie dessen Beitritt zur ActiveDrectory-Domäne des Hauptservers. Er arbeitet als lokaler Fileserver im Netz der Filiale, die Daten des Fileservers lassen sich via ownCloud mit Freigabe-Verzeichnissen des zentralen invis-Servers synchronisieren. D.h. Mitarbeiter die an beiden Standorten tätig sind können auf beiden Seiten mit Ihren Daten arbeiten.
-----
-  * **Variante "Modem" - wird nicht mehr offiziell unterstützt**
-{{ :invis_server_wiki:invis_im_netz_1.png?600 |}}
+Derzeit ist der Filialserver einfacher Memberserver der zentralen Domäne. D.h. damit der Zugriff auf dessen Fileserver-Freigaben klappt müssen auf allen PCs der Filiale Benutzerkonten angelegt werden, die denen der Domäne entsprechen. Für spätere Entwicklungsschritte ist angedacht, den Filial-Server als "Read-only-Domain-Controller" (RODC) zu betreiben. Damit wäre es möglich alle PCs der Filiale in die AD-Domäne aufzunehmen, womit dann das Anlegen lokaler Benutzerkonten entfällt. Wie gesagt, ist noch Zukunftsmusik.
-----
-//**Achtung:** Weitere Szenarien, in denen ein invis-Server nicht als Router/Gateway fungiert ist nicht vorgesehen, wird vom Projekt nicht supportet und beraubt den Server auch eines Großteils seiner Funktionen.//
 ===== Zugang von "Außen" =====
 Eine Warnung vorweg:
@@ Zeile 124: / Zeile 131: @@
 invis Server sind dafür ausgelegt auf verschiedenen Wegen via Internet erreichbar zu sein. Vorgesehen sind 5 unterschiedlich Zugänge:
-  - SSH -- Administrativer Zugriff. Der Port des SSH-Servers wird während des Setups auf einen zufälligen hohen Port verschoben.
+  - **SSH** -- Administrativer Zugriff. Der Port des SSH-Servers wird während des Setups auf einen zufälligen hohen Port verschoben.
-  - HTTPs -- Zugriff auf das invis-Portal und installierte Webapplikationen. Auch der HTTPs Port wird während des Setups auf einen zufälligen hohen Port verschoben.
+  - **HTTPs** -- Zugriff auf das invis-Portal und installierte Webapplikationen. Auch der HTTPs Port wird während des Setups auf einen zufälligen hohen Port verschoben.
-  - OpenVPN -- VPN Zugang auf den Server und das dahinter liegende Netz.
+  - **OpenVPN** -- VPN Zugang auf den Server und das dahinter liegende Netz.
-  - HTTPs -- ActiveSync/z-push auf Port 443
+  - **HTTPs** -- ActiveSync/z-push auf Port 443
-  - HTTP -- dient rein technischen Zwecken. Über Port 80 wird die Nutzung offizieller Sicherheitszertifikate des Zertifizierers "Let's Encrypt" ermöglicht.
+  - **HTTP** -- dient rein technischen Zwecken. Über Port 80 wird die Nutzung offizieller Sicherheitszertifikate des Zertifizierers "Let's Encrypt" ermöglicht.
 Der Zugriff auf installierte Webapplikationen via Internet setzt den den vorherigen Zugriff auf das invis-Portal sowie die Mitgliedschaft in der Gruppe "**mobilusers**" voraus. Deeplinking auf die Webapplikationen wird verhindert. Davon ausgenommen sind z-Push, die Kopano Webapp und ownCloud.
@@ Zeile 138: / Zeile 145: @@
 D.h. auch beim Zugriff aus dem internen Netz wird die extern gültige URL genutzt. Ansonsten wäre es nicht möglich konsistente URLs zu erzeugen über die Dritte auf freigegebene Dateien oder Ordner zugreifen können.
-//**Achtung:** Dafür ist es erforderlich, dass der von Ihnen verwendete Router eingerichtete Portforwarding-Regeln auch dann anwendet, wenn der Zugriff aus dem lokalen Netz (interne Zone) erfolgt. Einige Router der Telekom (Digibox), Vodafone (Easybox), Telefonica (One Access) sind dazu leider nicht in der Lage! Verwenden Sie statt dessen Geräte der Hersteller AVM (FritzBox) oder LANCOM. Mit diesen Geräten treten keine Probleme auf.//
+//**Achtung:** Dafür ist es erforderlich, dass der von Ihnen verwendete Router eingerichtete Portforwarding-Regeln auch dann anwendet, wenn der Zugriff aus dem lokalen Netz (interne Zone) erfolgt. **Einige Router der Telekom (Digibox), Vodafone (Easybox), Telefonica (One Access) sind dazu leider nicht in der Lage!** Verwenden Sie statt dessen Geräte der Hersteller AVM (FritzBox) oder LANCOM. Mit diesen Geräten treten keine Probleme auf.//
 Als Hostname kommt prinzipiell ein im Internet gültiger Hostname (DDNS) in Frage. Die Verwendung einer festen IP-Adresse (muss vom Provider gestellt werden) ist zwar denkbar, sorgt aber in Verbindung mit Verschlüsselung immer für Probleme, da Sicherheitszertifikate nur auf Namen und nicht für IP-Adressen ausgestellt werden.
@@ Zeile 174: / Zeile 181: @@
 Jeder auf einem invis Server angelegte Benutzer verfügt über eine lokales email-Konto (Postfach), dem eine Adresse nach dem Schema "//username@lokale-domain.loc//" zugeordnet ist. Diese Adresse hat ausschließlich im lokalen Netzwerk Bedeutung und kann im Internet nicht verwendet werden. Diesem Mailkonto können mittels CorNAz (Eintrag "Mailkonten" im invis-Portal) vom User selbst beliebig viele externe Mailkonten zugeordnet werden.
-Alle Mail-Clients im Netzwerk (Thunderbird, Outlook usw.) kennen nur die lokale Mail-Adresse. Wird von einem Client aus eine email versendet, prüft der invis-Server, ob sich der Empfänger im lokalen Netzwerk oder im Internet befindet. Trifft letzteres zu, tauscht der invis Server automatisch die in der email verankerten lokalen Absender-Adresse gegen eine im Internet Gültige (sender address rewriting) aus.
+Alle Mail-Clients im Netzwerk (Thunderbird, Outlook usw.) kennen nur die lokale Mail-Adresse. Wird von einem Client aus eine Email versendet, prüft der invis-Server, ob sich der Empfänger im lokalen Netzwerk oder im Internet befindet. Trifft letzteres zu, tauscht der invis Server automatisch die in der Email verankerten lokalen Absender-Adresse gegen eine im Internet Gültige (sender address rewriting) aus.
-Hat der Benutzer mehrere externe Mailkonten/email-Adressen angegeben, kann er mit unserem Mail-Konten-Verwaltungs-Tool "CorNAz" festlegen, welches seine bevorzugte Absender-Adresse ist.
+Hat der Benutzer mehrere externe Mailkonten/Email-Adressen angegeben, kann er mit unserem Mail-Konten-Verwaltungs-Tool "CorNAz" festlegen, welches seine bevorzugte Absender-Adresse ist.
 Emails an lokale Empfänger werden direkt zugestellt, hier findet kein "address rewriting" statt.
@@ Zeile 185: / Zeile 192: @@
 ====== Versionen und Versionsnummerierung ======
-invis-Server gibt es in den Versionen "invis Classic" und "invis ActiveDirectory". Davon wird die Classic Version nicht mehr gepflegt und ist auch allenfalls noch mit reichlich Mühe unter openSUSE 13.1 (die im November 2016 endgültig ausläuft) installieren. Wir raten davon ab.
+invis-Server gab es in den Versionen "invis Classic" und "invis ActiveDirectory". Davon wird die Classic Version nicht mehr gepflegt und lässt sich auch allenfalls nicht mehr installieren.
 Die letzte Version des invis-Classic trug die Versionsnummer 9.3.
@@ Zeile 191: / Zeile 198: @@
 Ab Version 10.0 wurde der invis-Server dank Samba 4 auf ActiveDirectory anstelle von OpenLDAP umgestellt. Dies entspricht einer Aktualisierung der Windows Domänenstruktur von NTLM (Windows Server NT 4.0) auf ActiveDirectory mit Kerberos Authentifizierung (ab Windows Server 2000). Notwendig war dies, da immer mehr Business-Applikationen das Vorhandensein eines ActiveDirectories voraussetzen und neuere Windows-Versionen nur noch mit zunehmend großem Aufwand zum Beitritt in eine NTLM-Domäne zu bewegen sind.
-Die Versionen 10.0 bis 10.3 basierten auf openSUSE 13.1. Seit dem Auslaufen der Evergreen Maintenance für openSUSE 13.1 im November 2016 werden nur noch Installationen basierend auf openSUSE Leap unterstützt. Noch existierende alte Installationen sollten aktualisiert oder neu installiert werden. Erläuterungen zu den verschiedenen Upgrade-Pfaden sind hier im **[[https://wiki.invis-server.org/doku.php/invis_server_wiki:upgrade|Wiki]]** zu finden.
+Die Versionen 10.0 bis 10.3 basierten auf openSUSE 13.1. Seit dem Auslaufen der Evergreen Maintenance für openSUSE 13.1 im November 2016 werden nur noch Installationen basierend auf der jeweils aktuellen openSUSE Leap unterstützt. Noch existierende alte Installationen sollten aktualisiert oder neu installiert werden. Erläuterungen zu den verschiedenen Upgrade-Pfaden sind hier im **[[https://wiki.invis-server.org/doku.php/invis_server_wiki:upgrade|Wiki]]** zu finden.
 Die Versionsnummer eines invis-Servers besteht aus 3 Teilen bzw. Stellen:
@@ Zeile 205: / Zeile 212: @@
 Grundsätzlich werden wir (soweit es unsere Zeit erlaubt) versuchen alle erforderlichen Update bzw. Upgrade Schritte hier im Wiki zu dokumentieren. Sollte etwas fehlen, bedenken Sie bitte, dass wir alle neben der Pflege und Entwicklung des invis-Servers auch noch die Jobs zu erledigen haben, die uns ernähren.
-Mit Einführung von invis-Server 11.0 wurde die Major-Versionsnummer in den Namen des invis-Setup Paketes aufgenommen. Also wird aus **"invisAD-setup"** dann **"invisAD-Setup-11"**. Dies verhindert versehentliche Updates des Paketes bei dem ein bestehendes System beschädigt werden könnte. Um zur neuen Version zu kommen ist also immer ein Upgrade, entsprechend der Beschreibungen hier im [[invis_server_wiki:upgrade|Wiki]], erforderlich.
+Seit Einführung von invis-Server 11.0 (August 2016) wurde die Major-Versionsnummer in den Namen des invis-Setup Paketes aufgenommen. Also wird aus **"invisAD-setup"** dann **"invisAD-Setup-11"**. Dies verhindert versehentliche Updates des Paketes bei dem ein bestehendes System beschädigt werden könnte. Um zur neuen Version zu kommen ist also immer ein Upgrade, entsprechend der Beschreibungen hier im [[invis_server_wiki:upgrade|Wiki]], erforderlich.