Netzwerk on zefanjas.de - Open Source & Education

Wie wichtig ist Hochverfügbarkeit in einem Schulnetzwerk?

Tue, 05 Mar 2019 13:35:19 +0000

Schulnetzwerke werden mit wachsenden Anforderungen komplexer. Ein Schulserver, schulweites WLAN, Einsatz von Tablets und Laptops im Unterricht, eine Schulcloud, einheitliche Logins für alle Dienste – die Anforderungen an einen Netzwerkbetreuer oder Dienstleister in der Schule sind vielfältig. Wenn alles funktioniert, ist meist auch alles gut. Aber was ist, wenn der Server, die Firewall oder ein Switch ausfällt? Die Konsequenzen können sehr unterschiedlich sein. Wie schnell kann der Normalbetrieb wiederhergestellt werden? Wie wichtig ist Hochverfügbarkeit in einem Schulnetzwerk?

Hochverfügbarkeit

Laut Wikipedia definiert sich Hochverfügbarkeit folgendermaßen

Hochverfügbarkeit (englisch high availability, HA) bezeichnet die Fähigkeit eines Systems, trotz Ausfalls einer seiner Komponenten mit einer hohen Wahrscheinlichkeit (oft 99,99 % oder besser) den Betrieb zu gewährleisten.

Es geht also darum, dass ein System („das Schulnetzwerk“) einsatzfähig bleibt, auch wenn eine oder mehrere Komponenten einmal ausfallen sollten. Dabei kann es durchaus zu Unterbrechungen kommen. Je nachdem wie lang so eine Unterbrechung ist, teilt man die Hochverfügbarkeit in verschiedene Klassen ein. Ein Schulnetzwerk muss vor allem an Schultagen einsatzfähig sein (ca. 180-200 Tage pro Jahr). Auch wenn eine 99,999% Verfügbarkeit in den wenigsten Schulen absolut notwendig ist, ist der reibungslose Betrieb für den Unterrichtsalltag sehr wichtig.

Single Point of Failures

Um Hochverfügbarkeit herzustellen, müssen sogenannte „Single Point of Failures“ reduziert werden. Es handelt sich dabei um Komponenten bei deren Ausfall das ganze Schulnetzwerk still stehen würde. Was können solche „Single Point of Failures“ sein?

Firewall → fällt sie aus, gibt es kein Zugang mehr zum Internet, je nach Konfiguration funktioniert auch das interne Netz nicht mehr
Switche (v.a. Hauptswitch) → siehe Firewall, Komplettausfall
Server → fällt er aus, sind viele Anwendungen nicht mehr zu erreichen, d.h. keine Anmeldung mehr im internen Logins, Webanwendungen, Schulcloud, …
Internetanschlüsse → fällt der einzige Zugang aus, ist man offline.
…

Kurze Geschichte am Rande:

Letzte Woche ist unsere Firewall ausgefallen (aufgrund des Atom C2000 Bugs). Das Netzwerk lag still, wir waren offline. Ein erster Versuch die Firewall zu virtualisieren scheiterte, sodass wir auf einen kleinen Minicomputer mit 2 Netzwerkkarten ausgewichen sind. Es waren ein paar zusätzliche Konfigurationen an unserem Hauptswitch nötig um alle WANs und VLANs auf zwei Netzwerkkarten aufzuteilen. Nach einigen Stunden lief das Netzwerk dann wieder (wir konnten das Backup der Konfiguration mit wenig Änderungen problemlos wiederherstellen).

Wie kann man die Ausfallsicherheit erhöhen?

Es gibt mehrere Möglichkeiten, wie man die Ausfallsicherheit erhöhen und das System „Schulnetzwerk“ besser gegen Ausfälle schützen kann. Allgemein geht es darum, dass man möglichst wenige (am besten keine) „Single Point of Failures“ hat und kritische Komponenten bei einem Ausfall fehlertolerant sind. Wie bereits oben erwähnt, hängen die Anforderungen an ein hochverfügbares Schulnetzwerk sehr von den Gegebenheiten und Wünschen des Schulträgers ab. Zum einen ist es eine Frage des Geldbeutels, zum anderen muss auch nicht jedes Netzwerk innerhalb weniger Minuten wieder verfügbar sein.

Hier einige Ideen, wie man die Ausfallsicherheit erhöhen kann:

qualitative Hardware → gute Hardware kostet zwar mehr, aber sie läuft oft stabiler
Backups, Backups → Konfigurationen, Daten, Virtuelle Maschinen, Container – an Backups führt kein Weg dran vorbei (Backups unbedingt auch testen!)
Monitoring → ein gutes Monitoring kann in manchen Fälle Fehler früh erkennen bzw. gibt einen Überblick, wo es im Netzwerk gerade Probleme gibt. So kann man schneller reagieren und ist nicht auf die Hinweise der Benutzer im Netzwerk angewiesen („Das Internet geht nicht mehr“, „Der Drucker ist kaputt“, …)
Fehlertoleranz erhöhen → auch „Failover“ genannt, d.h. zwei Netzteile im Server, mehrere Internetanschlüsse („Multi-WAN), zwei Firewalls, RAID, zwei Server, …
Ersatzteile vorhalten → Festplatten, Ersatzswitch, …
UPS/USW → Hardware bei Stromschwankungen schützen und Weiterbetrieb auch bei einem Stromausfall gewährleisten (für begrenzte Zeit)
„personelle Redundanz“ → besser zwei oder mehrere Administratoren bzw. Dienstleister (bei Abwesenheit durch Krankheit, Urlaub, …)
vorbeugende Wartungen
…

Fazit

Ein Schulnetzwerk ist sicher kein hochkritisches System, aber mit der fortschreitenden Digitalisierung der Schulen wird es immer wichtiger, dass die IT-Infrastruktur möglichst ohne Ausfälle erreichbar bleibt. An manchen Schulen wiegt ein Ausfall des Internets so schwer, dass kaum weiter gearbeitet werden kann (Onlinesysteme zur Verwaltung, Schulclouds, Online-Lernsysteme, Student Information Systems). Um die Ausfallsicherheit zu erhöhen, muss man nicht immer viel Geld in die Hand nehmen. Viel wichtiger ist, dass man auf einen Ausfall vorbereitet ist (v.a. bei den Single Point of Failures).

pfSense Monitoring mit Check_MK

Mon, 20 Nov 2017 09:22:05 +0000

Für die [Überwachung / Monitoring unserer Netzwerkinfrastruktur][1] nutzen wir Check_MK. Check_MK unterstützt eine Vielzahl an Diensten und Agenten. Daten können mit dem Check_MK-Agenten, per SNMP oder einfach nur per ping überwacht werden. In der Vergangenheit haben wir unsere Firewall per SNMP überwacht, welches bereits in pfSense integriert ist (SNMP kann unter_ Services → SNMP_ aktiviert werden). Damit deckt man bereits den Großteil der Dienste, wie z.B. alle Netzwerkinterfaces, ab. Aber es fehlen auch einige wichtige Infos. Dazu gehören die aktuelle CPU Auslastung oder die Belegung der Festplatte(n). Um an diese Informationen zu kommen, braucht man den Check_MK-Agenten auf der Firewall.

Installation des Check_Mk-Agenten in pfSense

Ich beschreibe hier die Installation per SSH-Verbindung zu Firewall. Alternativ kann man aber auch alle Befehle unter Diagnostics → Command Prompt eingeben.

Der Check_MK-Agent ist ein Bash-Skript. Deshalb muss als erstes bash installiert werden:

pkg install -y bash

Danach noch zwei Verzeichnisse erstellen:

mkdir -p /opt/bin
mkdir -p /opt/etc/xinetd.d

Als nächsten wird der [Check_MK-Agent][2] in das eben angelegte Verzeichnis heruntergeladen und ausführbar gemacht:

curl --output /opt/bin/check_mk_agent<br /> 'https://git.mathias-kettner.de/git/?p=check_mk.git;a=blob_plain;f=agents/check_mk_agent.freebsd;hb=HEAD'

chmod +x /opt/bin/check_mk_agent

Die Daten des Check_MK-Agenten werden per telnet abgerufen. Deshalb braucht man dazu noch eine Konfigurationsdatei. Dazu kopiert man folgenden Inhalt (am besten über Diagnostics → Edit file in die Datei

/opt/etc/xinetd.d/check_mk

# +------------------------------------------------------------------+
# |             ____ _               _        __  __ _  __           |
# |            / ___| |__   ___  ___| | __   |  \/  | |/ /           |
# |           | |   | '_ \ / _ \/ __| |/ /   | |\/| | ' /            |
# |           | |___| | | |  __/ (__|   <    | |  | | . \            |
# |            \____|_| |_|\___|\___|_|\_\___|_|  |_|_|\_\           |
# |                                                                  |
# | Copyright Mathias Kettner 2014             mk@mathias-kettner.de |
# +------------------------------------------------------------------+
#
# This file is part of Check_MK.
# The official homepage is at http://mathias-kettner.de/check_mk.
#
# check_mk is free software;  you can redistribute it and/or modify it
# under the  terms of the  GNU General Public License  as published by
# the Free Software Foundation in version 2.  check_mk is  distributed
# in the hope that it will be useful, but WITHOUT ANY WARRANTY;  with-
# out even the implied warranty of  MERCHANTABILITY  or  FITNESS FOR A
# PARTICULAR PURPOSE. See the  GNU General Public License for more de-
# ails.  You should have  received  a copy of the  GNU  General Public
# License along with GNU Make; see the file  COPYING.  If  not,  write
# to the Free Software Foundation, Inc., 51 Franklin St,  Fifth Floor,
# Boston, MA 02110-1301 USA.
 
service check_mk
{
    type           = UNLISTED
    port           = 6556
    socket_type    = stream
    protocol       = tcp
    wait           = no
    user           = root
    server         = /opt/bin/check_mk_agent
 
    # If you use fully redundant monitoring and poll the client
    # from more then one monitoring servers in parallel you might
    # want to use the agent cache wrapper:<br />
 
    #server         = /usr/bin/check_mk_caching_agent
 
    # configure the IP address(es) of your Nagios server here:
    #only_from      = 127.0.0.1 10.0.20.1 10.0.20.2
 
    # Don't be too verbose. Don't log every check. This might be
    # commented out for debugging. If this option is commented out
    # the default options will be used for this service.
    log_on_success =
 
    disable        = no
}
```

Nun müssen noch einige Filtereinstellungen vorgenommen werden. Das folgende Skript nimmt die notwendigen Änderungen in der Datei

`/etc/inc/filter.inc`

automatisch vor. Dazu wird (wieder über **_Diagnostics  → Edit file_**) die Datei /**opt/filter\_check\_mk_cron** angelegt.

#!/bin/sh
 
grep includedir /etc/inc/filter.inc
if [ $? -eq 0 ]
then
        exit 0
else
        awk '/fclose\(\$xinetd_fd\)\;/{print "fwrite($xinetd_fd, \"includedir /opt/etc/xinetd.d\");"}1' /etc/inc/filter.inc > /etc/inc/filter.inc.temp
        mv /etc/inc/filter.inc.temp /etc/inc/filter.inc
fi
exit 0
```

Auch dieses Skript muss wieder ausführbar gemacht und letztendlich ausgeführt werden:

`chmod +x /opt/filter_check_mk_cron`

`./opt/filter_check_mk_cron`

Als letztes noch die Filter neu laden (über **_Status → Filter Reload_**) und nun kann man prüfen, ob der Check_MK-Agent funktioniert (IP der Firewall entsprechend anpassen):

`telnet 192.168.1.1 6556`

Wenn alles richtig konfiguriert ist, sollte man die Ausgabe des Check_MK-Agenten sehen.

([Quelle][3])

## pfSense auf Check_MK Server einrichten

Nun muss die Firewall als Host in Check_MK hinzugefügt bzw. den evtl. schon vorhanden Host im WATO editiert werden. Neben der IP, der SNMP Community und dem Hostnamen kann als **Agent type** _**Dual Check: Check_MK Agent + SNMP**_ ausgewählt werden. Mit einem Klick auf _**Save & go to Services**_ können nun die gewünschten Dienste aktiviert werden.

 

Nun hat man alle wichtigen Infos immer auf einem Blick verfügbar. Hier ein Ausschnitt:

 

## Fazit

Check_MK ist eine sehr flexible tolle Monitoring-Software. Wir nutzen sie [schon einige Zeit][4] in unserer Schule und die Anpassungsmöglichkeiten sind schier unendlich, was die Benachrichtigungen und zu überwachende Geräte angeht.

**Welche Software habt ihr für das Monitoring im Einsatz?**

 [1]: https://zefanjas.de/2017/11/18/5-grossartige-open-source-programme-die-wir-in-unserer-schule-einsetzen/
 [2]: https://git.mathias-kettner.de/git/?p=check_mk.git;a=blob_plain;f=agents/check_mk_agent.freebsd;hb=HEAD
 [3]: https://neu.lu/2017/03/pfsense-2-3-mit-check_mk-agent/
 [4]: https://zefanjas.de/2016/12/07/open-source-in-der-schul-it-teil-2/

Scanner an der Fritzbox im Netzwerk nutzen

Wed, 24 Nov 2010 13:53:20 +0000

Mein Multifunktionsdrucker (Photosmart c4340) steht nun schon einige Zeit neben der Fritzbox (7270), da auf meinem Schreibtisch kein Platz dafür ist. Drucken über das Netzwerk ist kein Problem, da HP Drucker oft sehr gut unter Ubuntu unterstützt werden. Nun hat der Drucker aber auch einen Scanner. Jedesmal, wenn man etwas einscannen möchte, dann muss man erst einmal seinen Laptop zum Drucker tragen und dann mit dem USB Port verbinden – insgesamt sehr umständlich.

Nun existiert für die Fritzbox ein Projekt, welches sich Freetz nennt. Hier die Selbstbeschreibung des Projekts:

Freetz ist eine Firmware-Erweiterung (Modifikation) für die AVM Fritz!Box und baulich ähnliche Geräte: Die Original-Firmware des Herstellers wird um zusätzliche Funktionen erweitert und mit einer individuellen Zusammenstellung von Programmen ergänzt.

Freetz bietet einem sozusagen die Möglichkeit, seine Fritzbox zu modifizieren und somit um weitere Features zu erweitern. Eine Liste aller Erweiterungen findet man hier. In dieser Liste gibt es auch ein Paket namens „SANE„, welches die Fritzbox um einen Scann-Server erweitert, sodass im Netzwerk auf diesen Scanner zurückgegriffen werden kann.

Installation

Da SANE noch als unstable gekennzeichnet ist, findet man es nur in der aktuellen Entwicklerversion von Freetz, d.h. zuerst muss diese ausgecheckt werden:

svn co http://svn.freetz.org/trunk freetz-trunk

Man beachte den Hinweis: Die Entwicklerversion ist ausschließlich für Profis gedacht, die sich u.U. selbst zu helfen wissen! Sie ist ständigen Änderungen unterworfen und funktioniert möglicherweise nicht oder nur eingeschränkt. und Die Installation einer modifizierten Firmware führt zum Verlust der Gewährleistung des Herstellers!

Bevor man jetzt weiter macht, sollten die Allgemeinen Hinweise und Voraussetzungen zur Installation gelesen werden (benötigte Abhängigkeiten, …)!!!

Mit

make menuconfig

werden nun die benötigten Pakete ausgewählt (Ich kopiere hier der Einfachheit halber die Schritte aus dem Freetz Wiki):

Sicherstellen, daß im Hauptmenü Show advanced options und unter Package selection Unstable ausgewählt sind
Im Hauptmenü zu Package selection → Unstable → SANE wechseln und SANE auswählen
Empfehlung: sane-find-scanner und scanimage auswählen. (Diese sind nicht notwendig für den Betrieb, aber hilfreich, falls das Scannen im nächsten Schritt nicht funktioniert. Wenn einmal alles klappt, kann man die beiden Punkte wieder abwählen um Speicherplatz zu sparen (~150kB) und ein neues Image erstellen)
Backend auswählen:
- Geräte von Hewlett-Packard (HP): Eine Ebene höher wechseln, HPLIP auswählen (HPLIP ist momentan nur im Trunk verfügbar) und dann Printer Class und Printer Type entsprechend auswählen (Hilfefunktion steht zur Verfügung)
- Für alle anderen Geräte (und sehr alte HPs): Über die Liste unterstützter Geräte den Namen des Backends feststellen und auswählen.
Unter Package selection → Standard packages Inetd auswählen (wird in kommenden Versionen automatisch ausgewählt)
Image erstellen, flashen, neu starten

Hat man diese Schritte hinter sich gebracht, kann man nun bequem von jedem Rechner im Netzwerk aus scannen.Dazu startet man Xsane mit folgendem Parameter:

xsane net:fritz.box

Alternativ kann man auch die Datei /etc/sane.d/net.conf um den Eintrag fritz.box erweitern, dann kann Xsane auch normal aus dem Anwendungsmenu gestartet werden.

Fazit

SANE auf der Fritzbox bietet die Möglichkeit, dass man nun seinen Scanner auch im Netzwerk nutzen kann. Allerdings muss man immer noch zum Scanner laufen und das entsprechende Dokument einlegen. Optimal wäre eine Lösung, wo man nur das Dokument in den Scanner legen bräuchte und der Scanner das Dokument automatisch auf einem Netzlaufwerk speichert (z.B. auf eine an der Fritzbox angeschlossene Festplatte). Leider gibt es scanbuttond noch nicht als Paket für Freetz.