Andy's Blog - Linux, Mac, Windows

Tine 2.0 – ActiveSync Installation via Repository

andy — Sat, 04 Feb 2012 09:24:04 +0000

Hui, das ist eine wirklich gute Nachricht!

Lars hat im Forum von Tine 2.0 geschrieben, das ab der kommenden Version (ich vermute mal “Milan”) die ActiveSync-Pakete mit im Repository sind.

Ich persönlich erhoffe mir dadurch eine noch schnellere und einfachere Installation von Tine 2.0.

Zusätzlich hoffe ich, das sich die vielen Einrichtungsprobleme die Viele mit ActiveSync haben sich dann etwas entschärfen.

Ähnliche Artikel:

Tine 2.0: Zweite Beta von “Milan” veröffentlicht

andy — Fri, 03 Feb 2012 19:53:31 +0000

Vom kommenden Tine 2.0 Release “Milan” wurde die zweite Beta veröffentlicht.

Es wurden Fehler beseitigt und man hofft nächste Woche die letzte Beta veröffentlichen zu können.

Hier gibt’s die offizielle Meldung.

Ähnliche Artikel:

Apple’s iCloud/Match filtert Songs – Dann doch lieber ‘ne eigene Cloud

andy — Fri, 03 Feb 2012 13:55:28 +0000

Super Meldung zum Wochenende!

Wie man vielerorts (z.B. bei basicthinking, golem) aktuell lesen kann, ersetzt Apple’s Musik-Cloud nicht jugendfreie Musik-Titel durch entsprechend entschärfte Versionen.

Ob das nun wirklich ein Bug ist oder in die “Kein Porno auf dem iPhone”-Strategie passt sei mal offen gelassen.

Alle die Clouddiensten gegenüber skeptisch sind, dürfen sich jetzt mal bestätigt fühlen.

Da passt es ja irgendwie, das ich gerade gestern, ups, war doch schon heute, so ‘ne Nacht kann verdammt kurz sein, wieder was über ownCloud gepostet habe.

Damit kann man seine eigene (Musik-)Cloud aufbauen und Musik streamen. Guckst du hier.

Ich für meinen Teil ziehe es vor, meine Daten im eigenen unmittelbaren Zugriff zu haben. Das hat vielerlei Gründe. Ein aktuelles Beispiel für das Wieso von meiner Seite:

Gerade gestern hat mein DSL-Anschluss für ca. vier Stunden gestreikt. Das tut mir zwar auch schon weh, aber was ist, wenn da eine größere Firma dran hängt bzw. ein Gewerbe das vom Internet abhängig ist?

So was kann für eine Firma schon zum Problem werden. Was tun wenn kein Zugriff mehr auf E-Mails, Office 365 und co. mehr funktioniert?!

Ähnliche Artikel:

Netgear Smart Switche können kein 802.1X mit Zertifikaten

andy — Fri, 03 Feb 2012 11:43:05 +0000

Heute habe ich wegen meines Problems mit dem Netgear Smart Switch GS108T v2 und 802.1X Authentifizierung eine Antwort vom Support erhalten.

“Dear Andreas,

unfortunately I have to say, that GS108Tv2 and others in Smart Switch range do not support certificate based 802.1x (PEAP).

You would need a fully managed switch for this.”

Auf deutsch:

Die Netgear Smart Switche können kein 802.1X mit Zertifikaten. Essig.

Also entweder habe ich das irgendwo übersehen oder im Handbuch und im Datenblatt steht das meines Wissens nach nicht. Auf der Homepage ist davon auch nicht die Rede.

Ähnliche Artikel:

Windows: ownCloud 3 und XAMPP

andy — Thu, 02 Feb 2012 23:21:21 +0000

Über ownCloud hatte ich schon einmal geschrieben. Da sich seit dem Final Release von ownCloud 3 das Thema Cloud im Allgemeinen und ownCloud im Speziellen steil entwickelt hat, hier nun eine Schritt-für-Schritt-Anleitung, wie man ownCloud 3 unter Windows mit XAMPP installiert.

Hinweis: XAMPP ist als Entwicklerplattform konzipiert und nicht für den produktiven Einsatz vorgesehen. Möchte man ownCloud produktiv einsetzen, sollte meinen einen dedizierten Webserver mit PHP und Datenbank verwenden. Installationsanleitungen für verschiedene Betriebssysteme als auch Webserver findet man hier.

ownCloud mit SQLite

Aktuelles XAMPP-Paket herunterladen. Für diesen Artikel wurde das ZIP-Archiv verwendet. Zum Zeitpunkt des Schreibens war Version 1.7.7 aktuell.
Das XAMPP-Archiv nach “C:\” entpacken. Der Pfad sollte dann so aussehen “C:\xampp”.
Die Anwendung “C:\xampp\xampp-control.exe” ausführen.
Bei “Apache” auf “Start” klicken.
ownCloud herunterladen und nach “C:\xampp\htdocs” entpacken. Der Pfad sollte dann so aussehen “C:\xampp\htdocs\owncloud”. Aktuell zum Zeitpunkt des Schreibens dieses Artikel war Version 3.0.0.
Einen Browser öffnen und “localhost/owncloud” in der Adresszeile eingeben.
Nun kann man das Administrator-Konto für ownCloud konfigurieren. Ferner steht unter “Erweitert” die Möglichkeit zur Verfügung, von “SQLite” auf “MySQL” als Datenbank zu wechseln. Verwendet man MySQL sind weitere Konfigurationsschritte notwendig. In diesem Fall auf “SQlite” bleiben. Für die Konfiguration für MySQL weiter unten lesen.

Und schon steht die Basis für eine private Cloud zur Verfügung.

Wenn man links unten auf das Zahnrad-Symbol klickt, kann man weitere Einstellungen vornehmen, wie z.B. Benutzer anlegen.

ownCloud mit MySQL verwenden

Möchte man ownCloud mit MySQL als Datenbank verwenden, so muss im “XAMPP Control Panel” zuerst der MySQL-Server gestartet werden.
Einen Browser öffnen und “localhost/phpmyadmin” in der Adresszeile eingeben.
Auf “Rechte” klicken.
“Neuen Benutzer hinzufügen” anklicken.
Im Abschnitt “Anmelde-Informationen” einen Benutzernamen, z.B. “owncloud”, bei “Host” “Lokal” einstellen und ein Passwort eingeben.
Im Abschnitt “Datenbank für Benutzer” “Erstelle eine Datenbank mit gleichem Namen und gewähre alle Rechte” aktivieren.
Abschließend auf “Erzeuge Benutzer” klicken.
Beim ersten Aufruf von ownCloud im Browser über die Adresse “localhost\owncloud” einen Benutzernamen und ein Kennwort für den Administrator angeben, dann auf “Erweitert” und auf “MySQL” klicken.
Nun die Angaben für MySQL (Benutzername, Passwort, Datenbankname) vornehmen und auf “Installation abschließen” klicken.

Ähnliche Artikel:

Windows: MailStore – Suche optimieren

andy — Thu, 02 Feb 2012 09:36:14 +0000

MailStore archiviert von Haus aus alle E-Mail-Anhänge. Sofern die Suche (Indizes) richtig konfiguriert ist, werden auch die Anhänge indiziert und deren Inhalt wird durch die Suche berücksichtigt. Das erhöht die Treffgenauigkeit, falls man nach bestimmten Schlüsselwörtern sucht und man nicht nach einem bestimmten Absender, Empfänger oder gar Zeitpunkt sucht.

Möchte man z.B. Office-Dokumente mit indizieren, so ist es zunächst notwendig, die passenden IFilter zu installieren und anschliessend ist MailStore dahingehend zu konfigurieren, das die entsprechenden Datei-Erweiterungen auch verarbeitet werden.

MailStore bringt IFilter für PDF, HTML und TXT mit.

Falls man bereits E-Mails archiviert hat, muss der Index neu aufgebaut werden. Dabei wird die CPU relativ zu den zu verarbeiteten Anhängen belastet. Bei einem grossen Archiv und sofern der Computer nicht ausschliesslich für MailStore verwendet wird, sollte man ein Zeitfenster wählen, in dem niemand gestört wird.

MailStore Home

MailStore Home öffnen.
Auf “Verwaltung” klicken.
Unter “Durchsuchen von Anhängen” auf “Ändern” klicken und die Datei-Erweiterungen eintragen.
Abschliessend auf “Index neu aufbauen” klicken.

(Quelle: http://de.help.mailstore.com/MailStore_Home_Hilfe:Verwaltung)

MailStore Server

MailStore Client öffnen und als “admin” anmelden.
Zu “Verwaltung – Storage – Suchindizes” wechseln.
Auf “Ändern” klicken und die Datei-Erweiterungen eingeben.
Die Dateigruppen auswählen und auf “Suchindizes neu aufbauen” klicken.

(Quelle: http://de.help.mailstore.com/Suchindizes)

IFilter-Quellen

IFilter.org

IFilterShop

Microsoft Office 2007 Filter Pack

Microsoft Office 2010 Filter Pack

Hinweis: Neuere Microsoft Office Filter Packs decken ältere Microsoft Office-Versionen mit ab. Z.B. deckt das Microsoft Office 2010 Filter Pack alle Versionen seit Office 97 ab. Bei der Auswahl auf 32- und 64-bit achten!

Unter Windows 7 und Server 2008 R2 (möglicherweise auch Vista und Server 2008, ich hab’ keines dieser Systeme gerade da zum nachschauen da) kann man in den “Windows-Funktionen” (Windows 7) bzw. den Features im “Server-Manager” (Server 2008 R2) einen “Windows-TIFF-IFilter” installieren.

Dieses IFilter ermöglicht das Indizieren von TIFF-Dateien mittels OCR. Bei TIFF-Dateien handelt es sich um Grafikdateien, die z.B. von Windows-Fax verwendet werden.

Im Faxserver vom Windows Server (ab Windows Server 2003) kann eine Weiterleitung vom empfangenen Faxen als E-Mail eingerichtet werden.

Tools

Um jenseits der Windows-Suche sich anzeigen zu lassen, welche IFilter installiert sind, kann man das Tool IFilter Explorer verwenden.

Ähnliche Artikel:

Windows: MailStore Server – Meine persönliche best practice

andy — Thu, 02 Feb 2012 08:42:36 +0000

So, ich hab’ ja gerade meine Prüfung zum MailStore Certified Archiving Specialist 2012 erfolgreich hinter mir, ferner bin ich auch MailStore Registered Partner und wollte an dieser Stelle ein paar meiner favorisierten Konfigurationen zum MailStore Server loswerden.

Für alle die nicht wissen, was MailStore ist: Dabei handelt es sich um eine Lösung um E-Mails archivieren zu können. Mit dieser Software können gleich mehrere Ziele erreicht werden:

Rechtssichere E-Mail-Archivierung (nur MailStore Server, empfohlen für Firmen).
Entlastung des E-Mail-Servers (wenn man alte E-Mails entfernt).
Migration von E-Mail-Servern (MailStore hat eine Export-Funktion).
Datensicherung von E-Mail-Servern (MailStore ist zwar keine Backup-Lösung, aber man kann das Archiv durchaus als “Quasi”-Backup oder Brick-Level-Backup ansehen).

Folgende Punkte stehen im Grunde auch im Support-Bereich auf der MailStore-Homepage. Ich habe mir aber gedacht, ein paar häufiger gebrauchte Schritte hier abzulegen.

E-Mails archivieren

Grundsätzlich gibt es zwei Arten von Archivierung:

Alle ein- und ausgehende E-Mails.
Einzelne bzw. mehrere E-Mail-Postfächer.

Beide Methoden haben ihre Vor- und Nachteile.

Um rechtlich auf der sicheren Seite zu sein, empfiehlt sich alle ein- und ausgehende E-Mails zu archivieren.

D.h. bei Mailservern wie z.B. Microsoft Exchange oder hMailServer, die die Möglichkeit bieten alle ein- und ausgehenden E-Mails über ein Journal-Postfach zu sammeln, diese Funktionalität zu nutzen.

Bietet der E-Mail-Server kein Journal-Postfach, kann man auch auf den MailStore Proxy zurückgreifen.

Um die Ordner-Struktur eines Postfachs sichern zu können, muss man die Postfächer sichern. Andernfalls hat man eben nur alle ein- und ausgehenden E-Mails “unsortiert” im Archiv.

Beide Methoden lassen sich mit einander kombinieren und parallel betreiben.

Hinweis: Ich bin kein Anwalt und kann daher keine juristische Beratung geben. Ich möchte dennoch darauf hinweisen, das beim Eingriff in die E-Mail-Kommunikation, ganz egal ob durch Spamfilter, Anti-Viren-Lösung oder eben durch Archivierungslösungen das Briefgeheimnis greift. D.h. man sollte die betriebliche E-Mail-Nutzung geregelt haben. Beim BITKOM gibt es einen Leitfaden inkl. Vorlage, wie eine solche Regelung, auch zur Internet-Nutzung, aussehen kann. Eine empfohlene best practice besteht unter anderem darin, die private E-Mail-Nutzung zu untersagen bzw. auf externe Web-E-Mail-Anbieter (web.de, gmx, etc.) zu beschränken.

Link-Tipp: Konflikte zwischen Datenschutz und E-Mail-Archivierung vermeiden

Exchange Server 2010

Am Beispiel von Microsoft Exchange Server 2010 (das betrifft dann z.B. auch den SBS 2011) könnte die Konfiguration wie folgt aussehen:

Einen Benutzer inkl. Exchange Postfach für das Journaling anlegen, z.B. journal@domain.tld.
Journal im Exchange Server konfigurieren (Siehe Screenshot).

Den MailStore Client starten und als admin anmelden.
Auf “E-Mails archivieren” klicken.
“Microsoft Exchange Server” anklicken.
“E-Mails sofort bei Ein- und Ausgang” auswählen.
Alle Angaben zum Server und dem Journal-Benutzer vornehmen.
Optional: Die Option “Vor der Archivierung mit Active Directory synchronisieren” aktivieren. Keine Sorge, selbst wenn ein AD-Benutzer nicht mehr vorhanden ist, bleibt das Benutzer-Archiv erhalten.
Optional: Die Option “E-Mails in Postfach löschen” aktivieren. Ist diese Option aktiviert, werden die E-Mails im Journal-Postfach nach der Archivierung gelöscht.
Nach Abschluss des Assistenten auf “Zeitgesteuert” klicken und entsprechend den eigenen Anforderungen einen Zeitplan festlegen.

Möchte man die Postfächer sichern, bestehen dazu ebenfalls mehrere Möglichkeiten. D.h. einzelne Postfächer mit den jeweiligen Benutzerdaten oder mehrere Postfächer auf einmal. Letzteres setzt eine weitergehende Konfiguration voraus.

An dieser Stelle verweise ich auf die offizielle Dokumentation für diesen Fall.

hMailServer

hMailServer ist ein freier E-Mail-Server, den ich im Rahmen dieses Blogs schon öfters erwähnt habe. Ferner setze ich diesen Mailserver selbst ein.

Der hMailServer bietet die Möglichkeit, die Benutzer gegen das Active Directory zu authentifizieren. Dies bietet in Zusammenhang mit dem MailStore Server die Möglichkeit, die Benutzer zentral im Active Directory zu verwalten.

Natürlich kann man die Benutzer auch manuell verwalten, wenn man das möchte oder kein Active Directory zur Verfügung hat.

Anbei eine Beispiel-Konfiguration mit Active Directory:

Im Active Directory einen Journal-Benutzer, z.B. journal@domain.tld anlegen.
Für die Synchronisierung der MailStore-Benutzer eine Gruppe “E-Mail-Benutzer” anlegen und alle Domänen-Benutzer, die Zugriff auf den Mailserver haben, dieser Gruppe hinzufügen. Ferner müssen alle E-Mail-Benutzer mit einer E-Mail-Adresse konfiguriert sein.
Der MailStore-Anleitung zum Einrichten der Journaling-Funktion im hMailServer folgen.
Den “MailStore Client” öffnen und als admin anmelden.
Auf “E-Mails archivieren” klicken.
Auf “Anderer Server via IMAP/POP3″ klicken.
“Sammelpostfach” anklicken.
Alle Angaben für den Server-Zugriff (Protokoll, Servername, Benutzername, Kennwort) vornehmen.
Optional: “E-Mails in Postfach löschen” aktivieren.
“Vor Archivierung mit Verzeichnisdiensten synchronisieren” aktivieren und auf “Konfigurieren” klicken.
Nun “Server” und “Basis-DN” konfigurieren. In meinem Fall sind alle Benutzer in einer anderen OU als nach der Installation des Active Directory.
“Nur Microsoft Exchange-Benutzer synchronisieren” deaktivieren.
“Nur Mitglieder einer Gruppe synchronisieren” aktivieren und die “E-Mail-Benutzer”-Gruppe auswählen.
Nachdem das Archivierungsprofil angelegt ist, Dieses auswählen und auf “Zeitgesteuert…” klicken um einen Zeitplan für die Archivierung festzulegen.

Möchte man die einzelnen Postfächer sichern, hat man leider nicht ganz die Möglichkeit wie beim Exchange Server. Entweder man legt jedes Postfach bzw. Benutzer einzeln an oder man verwendet eine CSV-Datei um mehrere Postfächer gleichzeitig zu konfigurieren.

Auch wenn es anhand der Konfigurationsschritte nicht ersichtlich ist, werden alle E-Mails von bekannten Benutzern in entsprechende Benutzer-Archive sortiert. Unbekannte E-Mails werden entsprechend der Einstellung beim Erstellen des Archivierungs-Profils einsortiert (Standard: admin).

D.h. die Benutzer können auf ihre E-Mail-Archive über den MailStore-Client, das Outlook Add-In oder den MailStore Web Access zugreifen.

Zugriff auf das Archiv

Um auf das Archiv zugreifen zu können gibt es mehrere Möglichkeiten.

MailStore-Client
MailStore Web Access (Dieser kann auch in den OWA integriert werden.)
Outlook Add-in
IMAP
iPhone, iPod

Der klassische Weg ist der MailStore-Client und das Outlook Add-in, sofern man Windows und Outlook verwendet.

Möchte man allerdings keine Software verteilen, kann man schlicht den MailStore Web Access verwenden. Dieser lässt sich auch in die OWA (Outlook Web App) integrieren.

Interessant für alle E-Mail-Clients jenseits von Outlook und zumal Plattform-unabhängig ist die Möglichkeit, das Archiv mittels IMAP einzubinden. Damit Dies möglich ist, muss zunächst in der MailStore Dienst-Konfiguration der IMAP-Server aktiviert werden.

Diese Option ist interessant für Tine 2.0 oder andere selbstgehosteten Webmail/Groupware-Benutzer.

Auf diese Weise hat man alle seine E-Mails inkl. dem E-Mail Archiv zentral im E-Mail-Client.

MailStore Archiv verschieben

Per Standard installiert der MailStore Server das Archiv unter “C:\MailArchiv”. Je nach E-Mail-Last und vorhandenen Speicherplatz kann das zum Problem werden. Ein MailStore Archiv zu verschieben ist allerdings einfach.

Die ”MailStore Server Dienst Konfiguration” öffnen.
“Dienst stoppen” anklicken.
Den “MailArchiv”-Ordner verschieben.
Unter “Master-Datenbank – Verzeichnis” den neuen Pfad angeben.
“Dienst starten” anklicken.

Dies sind die Schritte, um das MailStore Archiv lokal zu verschieben. Möchte man das MailStore Archiv auf einen anderen Computer verschieben, z.B. während einer Migration, greifen im Grunde die gleichen Schritte. Nur das Diese über zwei Computer verteilt sind.

Wichtig: Verschiebt man das MailStore Archiv auf einen anderen Computer müssen die automatischen bzw. zeitgesteuerten Tasks neu angelegt und ggf. weitere Schritte durchgeführt werden. Siehe dazu MailStore Server Hilfe: Umziehen des Archivs.

Datensicherung und Wiederherstellung

Im Grunde ist alles dazu unter MailStore Server Hilfe: Datensicherung und Wiederherstellung gesagt. Ich möchte aber an dieser Stelle explizit darauf hinweisen, das MailStore VSS oder ähnliche Methoden offiziell nicht unterstützt. Ich habe zwar vom Support auch schon einmal eine Aussage gehört, das ein Partner berichtet hat, es würde funktionieren. Ob das nun wirklich so ist oder wie bei vielen anderen Datenbank-Anwendungen die VSS- und Image-Methoden nicht unterstützen und dann der Restore nur mit Glück verbunden ist, sei mal dahin gestellt.

Auf jeden Fall ist die Datensicherung von MailStore Server sehr einfach:

Dienst beenden.
Den Ordner “C:\MailArchiv” sichern.
Dienst starten.

Wenn man das so in seine Backup-Lösung einbindet, kann es unter Umständen recht lange dauern, bis der MailStore Server wieder verfügbar ist.

Bei vielen Backup-Lösungen ist es ja so, das Skripte oder Tasks vor und nach dem eigentlichen Backup ausgeführt werden. Da nun ein Voll-Backup eines gesamten Systems recht lange dauern kann, kann man die Ausfallzeit von MailStore Server über einen Trick verkürzen.

Man beendet den MailStore Server-Dienst, kopiert mittels robocopy den “MailArchiv”-Ordner bzw. spiegelt Diesen und startet den Dienst wieder. Hier ein Beispiel-Skript:

@echo off
net stop "MailStore Server"
robocopy c:\mailarchive c:\backup\mailstore /MIR /R:3 /NP /LOG:backup_log.txt
net start "MailStore Server"

Vorteil: Man kopiert nur die geänderten Dateien, der MailStore Server ist relativ schnell wieder verfügbar und man hat ein von MailStore unterstütztes Backup.

Nachteil: Man belegt den doppelten Speicherplatz.

Ab Version 6.x des MailStore Servers gibt es eine integrierte Backup-Option. Auch bei der integrierten Version sind für die Dauer der Sicherung die Archive nicht verfügbar und man belegt den doppelten Speicherplatz.

Die Wiederherstellung des MailStore Servers ist ebenfalls sehr einfach:

Dienst beenden.
“MailArchiv”-Ordner wiederherstellen.
Dienst starten.

Erfolgt die Wiederherstellung auf einem neuem Computer, greifen im Grunde die gleichen Schritte wie beim Verschieben auf einen anderen Computer:

MailStore Server installieren.
Dienst beenden.
“MailArchiv”-Ordner wiederherstellen.
Dienst starten.
Tasks neu anlegen.

Windows: Drahtgebundenes LAN, 802.1X und NPS

andy — Wed, 01 Feb 2012 15:38:46 +0000

In Anlehnung an meinen Artikel Windows: Wireless LAN, 802.1x und NPS folgt nun gewissermassen der zweite Teil, wie man 802.1x im drahtgebundenen, d.h. verkabelten Netzwerk zum Einsatz bringt.

Die Voraussetzungen sind bis auf die Hardware, statt eines Access Points wird ein oder mehrere 802.1x-kompatible Switche benötigt, identisch.

~~In meinem Fall kommt der kürzlich hier vorgestellte Netgear ProSafe GS108T zum Einsatz.~~

Auch in diesem Fall zeigte sich, das nicht jedes Gerät so mitspielt, wie man es erwarten würde.

Achtung: Bevor man anfängt, eine solche Konfiguration auszurollen, sollte man genau getestet und vorbereitet haben. Andernfalls kann man sich dadurch ganz schnell sein Netzwerk zu einer Gruppe stand-alone Rechner machen!

Die folgende Beispiel-Konfiguration basiert auf Windows Server 2008 R2.

Active Directory Zertifikatsdienste installieren und konfigurieren

Für den Fall, das man noch keine Unternehmens-Zertifizierungsstelle/-PKI hat, muss man zuerst die Rolle “Active Directory Zertifikatdienste” installieren:

Server-Manager – Rollen – Rolle hinzufügen – Active Directory-Zertifikatdienste

Sobald der Assistent nach dem Typ der Zertifizierungsstelle fragt, Diese auf “Unternehmen” einstellen. Alle weiteren Einstellungen können auf den Vorgaben belassen werden.

Nun muss die passende Zertifikat-Vorlage vorbereitet und hinzugefügt werden:

Server-Manager – Rollen – Active Directory-Zertifikatdienste – Unternehmens-PKI – Zertifikatvorlagen

Mit der rechten Maustaste auf “RAS- und IAS-Server” klicken und “Doppelte Vorlage” auswählen.
Einen Namen für die Vorlage vergeben, z.B. “RAS- und IAS-Server NPS”.
Optional: Möchte man die automatische Zertifikatverteilung verwenden, auf die Registerkarte “Sicherheit” wechseln und der Gruppe “RAS- und IAS-Server” die Berechtigung “Automatisch registrieren” geben.
Mit der rechten Maustaste auf “Server-Manager – Rollen – Active Directory-Zertifikatdienste – NAME DER PKI – Zertifikatvorlagen” und “Neu – Auszustellende Zertifikatvorlage” auswählen und die zuvor erstellte Zertifikatvorlage hinzufügen.

Der NPS benötigt ein Zertifikat, um sich den Clients gegenüber “ausweisen” zu können.

Dieses Zertifikat kann manuell über das Zertifikate-Snap-In in einer MMC oder via Automatische Zertifikatverteilung über die Gruppenrichtlinien angefordert werden.

Als generelle Voraussetzung für das erfolgreiche Anfordern eines Zertifikats gilt, das der NPS Mitglied in der Gruppe der “RAS- und IAS-Server” ist.

Je nach gewünschter Authentifizierung des Clients, müssen ebenfalls Zertifikate auf den Client-Computern angefordert werden. Dies ist für PEAP-TLS und EAP-TLS der Fall.

NPS installieren und konfigurieren

Der NPS wird ebenfalls als Rolle installiert:

Server-Manager – Rollen – Rolle hinzufügen – Netzwerkrichtlinien- und Zugriffsdienste

Bei der Abfrage, welche Komponenten installiert werden sollen, nur den “Netzwerkrichtlinienserver” auswählen.

Sobald der NPS installiert ist, muss dieser im Active Directory registriert werden. Dazu mit der rechten Maustaste auf “Server-Manager – Rollen – Rolle hinzufügen – Netzwerkrichtlinien- und Zugriffsdienste – NPS (Lokal)” klicken und “Server im Active Directory registrieren” anklicken.

Nun muss der NPS konfiguriert werden. Dazu zu

Server-Manager – Rollen – Netzwerkrichtlinien- und Zugriffsdienste – NPS (lokal)

wechseln.

Unter “Standardkonfiguration” “RADIUS-Server für drahtlose und verkabelte 802.1X-Verbindung” auswählen und “802.1X konfigurieren” anklicken.
“Sichere verkabelte (Ethernet-) Verbindungen” auswählen und einen Namen für die Richtlinien vergeben.
Einen oder mehrere RADIUS-Clients, d.h. die Switches, hinzufügen.
Die Authentifizierungsmethode auswählen. Für alle drei Methoden gilt, das nach der Auswahl auf “Konfigurieren” geklickt werden muss und das NPS-Zertifikat ausgewählt wird.
Die Benutzer- und Computergruppen hinzufügen, die Berechtigt sein sollen, auf das Netzwerk zuzugreifen.
Auf dem nächsten Dialog können Geräte-spezifische Konfigurationen vorgenommen werden. In meinem Fall ist das nicht notwendig.
Nach Abschluss des Assistenten ist der NPS einsatzbereit.

Switch konfigurieren

Im 802.1X-kompatiblen Switch muss mindestens folgendes konfiguriert werden:

RADIUS-Server: IP-Adresse oder Computername des NPS
RADIUS-Port 1812 (Standard)
RADIUS-Secret: Geheimer, gemeinsamer Schlüssel

Wie anfangs erwähnt, spielt auch hier nicht jedes Gerät so mit, wie man es erwartet.

Mit dem Netgear ProSafe GS108T kam ich trotz richtiger Konfiguration nicht weiter. Der Fehler äussert sich dadurch, das keine erfolgreiche Authentifizierung zustande kommt. Auf dem NPS finden sich folgende Fehler:

Es macht dabei keinen Unterschied, ob der “Message Authenticator” auf dem NPS und dem Netgear Switch aktiviert ist oder nicht.

Schaut man sich die Kommunikation mit dem Microsoft Network Monitor an, zeigt sich folgendes Bild:

Man sieht, das zumindest versucht wird, eine EAP-Authentifizierung zu etablieren. Jenseits von “Identity” passiert jedoch nichts.

Auf dem Screenshot zu sehen ist ferner der fehlgeschlagene Versuch der “admin”-Anmeldung des Netgear Switch gegenüber dem NPS.

Als Nachteil des Netgear-Geräts hat sich erwiesen, das bei der Anmeldung am Web-Interface kein Benutzername abgefragt wird. An dieser Stelle geht man, d.h. das Gerät bzw. Netgear, einfach von “admin” aus.

Im Gegensatz zum Cisco Switch unterscheidet der Netgear nicht zwischen lokalem und remote RADIUS bzw. man kann es dort schlichtweg nicht so konfigurieren, gegen welche Instanz die Anmeldung am Web-Interface authentifiziert werden soll.

Es wird lediglich eine Reihenfolge abgearbeitet. Dies äussert sich in diesem Beispiel so, das zuerst der remote RADIUS versucht wird und dann Lokal.

Ironischerweise funktioniert die RADIUS-Anmeldung für den Netgear-“admin” auch nicht, wenn man im AD einen “admin”-Benutzer anlegt.

Dennoch poste ich hier die Konfiguration für den Netgear Switch. Der Support ist über dieses Problem informiert und ich hoffe auf eine Lösung.

Update 03-02-2012

Heute kam die Antwort von Netgear. Die Smart Switche von Netgear können kein 802.1X mit Zertifikaten. Von daher ist die nachfolgende Konfigurationsanleitung für den Netgear Switch hinfällig.

Zwischenzeitlich hatte ich auch mal mit MD5 getestet. Dieses wird aber von Microsoft offiziell nicht mehr unterstützt und ist im NPS erst über einen Registry-Hack verfügbar. Auf dem Client benötigt man darüber hinaus eine andere Software. Das hat bei mir allerdings nicht funktioniert.

Der Cisco Switch hingegen läuft hier ohne Probleme. Anleitung dazu findet sich unter der Netgear-Anleitung.

Konfiguration am Netgear ProSafe GS108T:

Am Web-Interface anmelden.
Zur Registerkarte “Security” wechseln.
Im Abschnitt “Management Security” unter “RADIUS – Server Configuration” einen neuen RADIUS-Server-Eintrag hinzufügen.

Zu “Authentication List” wechseln.
“defaultList” von “Local – None – None” auf “RADIUS – Local – None” ändern.
In den Bereich “Port Authentication” wechseln.
Unter “Advanced – 802.1X Configuration” “Port Authentication” den Port, an dem der NPS angeschlossen ist auf “Authorized” konfigurieren. Andernfalls schliesst man sich selbst aus dem Netzwerk aus.
Unter “Advanced – 802.1X Configuration” “Port Based Authentication State” aktivieren.

Da ich eine funktionierende Konfiguration testen wollte, besorgte ich mir ein anderes Gerät. Einen Cisco SG 200-08. Mit diesem Gerät funktioniert die 802.1X-Authentifizierung. Anbei die Konfiguration dieses Geräts:

Am Switch via Browser anmelden.
Auf “Security – RADIUS” klicken.
Auf “Add…” klicken und die Angaben für den RADIUS-Server, also dem NPS, eintragen. Per Standard ist “Message Authenticator” aktiviert. Dies muss bei der Konfiguration des RADIUS-Client im NPS beachtet werden. D.h. im NPS ebenfalls aktivieren.

Auf “Security – 802.1X – Properties” klicken.
“Port Based Authentication State” aktivieren und “Authentication Method” auf “Radius” konfigurieren.

Auf “Security – 802.1X – Port Authentication” klicken.

Nun jeden Port, für den die 802.1X Authentifizierung gelten soll auf “Administrative Port Control: Auto” konfigurieren. Hierzu den jeweiligen Port auswählen und auf “Edit…” klicken.

In diesem Beispeil habe ich den Port, an dem der NPS hängt, auf “Administrative Port Control: Force Authorized” konfiguriert.

Hier mal ein Screenshot des Microsoft Network Monitors mit einer erfolgreichen Authentifizierung:

Client-Konfiguration

Auf dem Client (Windows 7) muss der Dienst “Automatische Konfiguration (verkabelt)” gestartet sein. Per Standard ist dieser Dienst auf “Manuell” eingestellt. Netzwerkweit kann man den Starttyp “Automatisch” mit Hilfe der Gruppenrichtlinien konfigurieren.

Ich habe mit zwei Clients getestet. Es zeigte sich, das zwar unter Umständen das Starten des Dienstes und das de- und wieder aktivieren der Netzwerkkarte bzw. kurz das Netzwerkkabel abziehen und wieder anstecken funktionieren kann, der sichere Weg allerdings ein Neustart ist.

Ferner muss der Client der Zertifizierungsstelle vertrauen und ggf. ein eigenes Zertifikat besitzen. Die genaue Konfiguration kommt auf die NPS-seitig verwendete Authentifizierungsmethode drauf an.

Leicht off-topic, aber dennoch interessant ist dieser Beitrag auf administrator.de:

Netzwerk Zugangskontrolle mit 802.1x und FreeRadius am LAN Switch

Ähnliche Artikel:

Cisco SG 200-08 – Unboxing und erster Eindruck

andy — Wed, 01 Feb 2012 14:05:22 +0000

Nachdem ich mit meinem Netgear ProSafe GS108T v2 Switch in Sachen 802.1X im drahtgebundenen Netzwerk an die Wand gerannt bin, habe ich mir ein anderes Gerät besorgt.

Nach ein wenig Suchen viel die Wahl auf den Cisco SG 200-08. Dieser fällt in die gleiche Grössen- und Preisordnung wie der Netgear.

Featureseitig schenken sich die beiden Geräte nicht viel.

Der Cisco-Switch kann nicht nur über das mitgelieferte Netzteil mit Spannung versorgt werden, sondern alternativ auch via PoE. Ferner unterstützt das Gerät IPv6.

Anbei nun ein paar Bilder vom Auspacken und mein persönlicher erster Eindruck.

Inbetriebnahme und erste Anmeldung

Gibt es im Netzwerk einen DHCP-Server, bezieht der Switch von dort eine IP-Adresse, unter der er ansprechbar ist.

Ist kein DHCP-Server vorhanden, wird die IP-Adresse “192.168.1.254″ verwendet.

Der Standard-Benutzername und -Kennwort lautet jeweils “cisco”. Dieses muss aber direkt bei der ersten Anmeldung geändert werden.

Fazit

Im Gegensatz zu Netgear stimmt das Handbuch mit der Firmware überein. Ferner habe ich den Eindruck, dass das Gerät bzw. die Weboberfläche flotter reagiert.

Die Handhabung ist simple und übersichtlich. Das Handbuch ist gut.

Endlich funktioniert meine 802.1X Authentifizierung.

Anmerkung

Das Gerät ist seitens Cisco bereits abgekündigt. Im Handel ist das Gerät aber gut verfügbar. Selbst wer sich jetzt ein solches Gerät noch holt, braucht sich keine Sorgen zu machen, denn Cisco bietet drei Jahre Unterstützung an.

(Quelle: http://www.cisco.com/en/US/prod/collateral/switches/ps10903/ps9994/end_of_life_notice_c51-667063.html)

Ähnliche Artikel:

Linux: Ein LAMP für Tine 2.0 – Installation via Repository

andy — Tue, 31 Jan 2012 14:40:23 +0000

Eigentlich will ich schon ewig einen Artikel über Tine 2.0 auf Linux schreiben. Einen groben Entwurf habe ich bereits Anfang 2011 (!) mal erstellt. Zwischenzeitlich hat sich allerdings einiges getan. Der Artikel steht aber immer noch auf meiner Liste.

Es gibt ein paar Möglichkeiten, Tine 2.0 auf einem LAMP zu installieren:

Der klassische Weg, d.h. man läd Tine 2.0 herunter und installiert es.
Installation über das Repository.
Installation direkt aus den Quellen (GIT).

Die Installation via Repository steht seit Oktober 2011 (oder so) zur Verfügung und wird in diesem Artikel aufgegriffen.

Vorteil dieser Methode soll sein, das es einfacher zu installieren geht und die Updates leichter eingespielt werden können. Ob das wirklich so ist, kann ich mangels Erfahrungswert bei dieser Variante (noch) nicht sagen.

Wer allerdings ständig auf dem allerneuesten Stand sein möchte, also jenseits der stabilen Version, dem bleibt nur der Weg entweder selbst herunter zu laden oder aus den Quellen zu installieren.

Für diesen Artikel wurde Debian 6.0.4 “Squeeze” Netinst AMD64 verwendet.

Auf die Linux-Installation gehe ich an dieser Stelle nicht ein. Ich gehe schlicht davon aus, das man Debian als Server einsetzt, d.h. ohne grafische Oberfläche installiert hat.

Die nachfolgenden Schritte können auch über ssh durchgeführt werden.

MySQL-Server installieren

Das Tine 2.0 Setup löst viele Abhängigkeiten auf. Leider wird der MySQL-Server nicht “von selbst” installiert. Von daher folgt vorab die Installation.

apt-get install mysql-server

Während der Installation wird man nach einem Passwort für den MySQL-“root” gefragt.

Tine 2.0 Repository einbinden

Mit den folgenden Befehlen wird das Tine 2.0 Repository eingebunden.

nano /etc/apt/sources.list

Die Zeile

deb http://packages.tine20.org/debian squeeze stable

einfügen.

Da anscheinend “gpg-keyserver.de” down ist, bin ich auf “keys.gnupg.net” gegangen. Ferner musste ich die Syntax gegenüber der Tine 2.0 Setup-Doku ändern, da sie sonst nicht akzeptiert wurde.

apt-key adv --keyserver keys.gnupg.net --recv-keys 7F6F6895

apt-get update

Tine 2.0 installieren

Mit dem nachfolgenden Befehl wird Tine 2.0 installiert.

apt-get install tine20

Während der Installation wird man gefragt, welcher Webserver verwendet werden soll. In diesem Fall wird Apache verwendet.

Bei meinen Tests zeigte sich, das Tine 2.0 automatisch den Apache Webserver installiert, wenn an dieser Stelle “apache2″ ausgewählt wird.

Umgekehrt ist das leider nicht der Fall. Wählt man “lighttpd” aus, wird dennoch der Apache installiert, aber nicht wie erforderlich konfiguriert.

Einen Benutzer für die Anmeldung am Tine 2.0 Setup festlegen. Anschließend kommt die Frage nach dem Passwort für diesen Benutzer.

Nun geht es darum, eine Datenbank für Tine 2.0 einzurichten.

Das Passwort für den MySQL-“root” eingeben.

Ein Passwort für den Tine 2.0 Datenbankbenutzer festlegen.

Ist das Setup soweit durchgelaufen, benötigt man einen Browser um den grafischen Teil des Setups durchzuführen.

In einem Browser die URL

http://IP-ODER-SERVERNAME/tine20/setup.php

aufrufen und als Tine 2.0 Setup-Benutzer anmelden.

An dieser Stelle werden die Anwendungs-, E-Mail-, Authentifizerungs- und weitere Einstellungen vorgenommen.

ActiveSync installieren

Folgende Befehle müssen an die jeweils aktuelle Version angepasst werden:

apt-get install bzip2

wget http://www.tine20.org/downloads/2011-05-6/tine20-activesync_2011-05-6.tar.bz2

tar xfvj tine20-activesync_2011-05-6.tar.bz2

mv ActiveSync /usr/share/tine20

Leider bin ich an dieser Stelle auf Probleme gestossen und versuche Diese derzeit mit Hilfe des Forums (hier geht’s zum Thread) zu lösen. Sobald die Lösung gefunden wurde, werde ich den Artikel entsprechend aktualisieren.

Dank “BoehserWolf” bin ich letztlich auf einen workaround gestossen.

Zugegeben, meine Erwartungshaltung war, das es out-of-the-box funktionieren sollte. Die Rewrite-Regeln unter anderem für ActiveSync sind in der von Tine 2.0 aus dem Repository mitgebrachten “apache.conf” vorhanden, greifen aber aus irgendeinem Grund nicht.

Hier nun der workaround:

a2enmod rewrite

nano /etc/apache2/sites-available/default

Folgenden Code einfügen:

RewriteEngine On
RewriteRule /Microsoft-Server-ActiveSync(.*) /usr/share/tine20/index.php?frontend=activesync [L,QSA]

Hinweis: Den oben genannten Code vor “” einfügen.

Die Konfiguration im Apache Webserver neu laden:

/etc/init.d/apache2 graceful bzw. restart

Anschliessend muss ActiveSync im Tine 2.0 Setup installiert werden.

Tine 2.0 leichter aufrufen

Per Vorkonfiguration ist es nun so, das Tine 2.0 über folgende URL aufgerufen wird:

http://IP-ODER-SERVERNAME/tine20/

Ruft man hingegen

http://IP-ODER-SERVERNAME/tine20

auf, erscheint eine Fehlermeldung.

Möchte man die zweite URL-Schreibweise verwenden, muss man folgende Schritte durchführen:

nano /etc/tine20/apache.conf

Die Zeile

Alias /tine20/ /usr/share/tine20/

Alias /tine20 /usr/share/tine20/

ändern und die Datei speichern.

Anschliessend die Apache-Konfiguration neu laden:

/etc/init.d/apache2 graceful

Wo findet sich was

Die Tine 2.0 Konfigurations-Dateien findet man unter “/etc/tine20″.

Tine 2.0 wird in “/usr/share/tine20″ installiert.

Ähnliche Artikel: