Ministerstvo dopravy Název dokumentu Autor Ministerstvo dopravy - realizační analýza Jan Šeda Poslední modifikace 16.12.2008 9:53:00 Verze dokumentu 1.0 Popis Projekt Určení Historie dokumentu Dokument je analýzou stavu instalace MS CMS na serverech zákazníka a návrhem realizace jejich převodu na nové serveru umístěné v hostingu. Ministerstvo dopravy Realizační předpis Obsah OBSAH 1 1. ÚVODNÍ INFORMACE 2 1.1.1 SÍŤOVÉ USPOŘÁDÁNÍ 2 1.1.2 VNITŘNÍ EDITAČNÍ SYSTÉM SERVER CM2 (172.16.33.59) 2 1.1.3 DATABÁZOVÝ SERVER DE4 (172.17.2.13) 3 1.1.4 PUBLIKAČNÍ WEBOVÝ SERVER SERVER CM1 (172.17.1.21) 3 2. NÁVRH POSTUPU KONVERZE 3 2.1.1 VIRTUALIZACE 3 2.1.2 KONVERZE DO VIRTUÁLNÍHO PROSTŘEDÍ 3 2.1.3 WORKFLOW KONVERZE SERVERŮ 4 2.1.4 ČASOVÁNÍ KONVERZE 5 3. NÁVRH VIRTUALIZOVANÉHO PROSTŘEDÍ 5 3.1.1 CELKOVÝ NÁVRH 5 3.1.2 PROJEKTOVÝ PLÁN KONVERZE 6 3.1.3 JEDNOTLIVÉ PROJEKTOVÉ KROKY 6 3.1.4 PROJEKTOVÉ ROLE 7 3.1.5 POŽADAVKY NA HARDWARE SERVERU 7 4. SOFTWARE LICENCE 8 Macron Software 1 Ministerstvo dopravy realizační analýza
1. Úvodní informace V současnosti je provozován systém Microsoft Content Management Server 2002 na Ministerstvu dopravy ČR, který je určen jako CMS systém pro správu obsahu několika internetových portálů. Existují celkem 3 fyzické stroje, které mají následující úlohy: Vnitřní editační systém server CM2 (172.16.33.59) Databázový server DE4 (172.17.2.13) Publikační webový server server CM1 (172.17.1.21) 1.1.1 Síťové uspořádání Jednotlivé fyzické servery jsou odděleny pomocí firewallu ISA Server a vytváří se tak DMZ, ve kterých tyto servery pak běží. 1.1.2 Vnitřní editační systém server CM2 (172.16.33.59) Základní analýzy probíhala na získaném VMWare image, který byl vygenerován během konzultací na MD ČR, kde mimo jiné bylo analyzováno i prostředí, kde tyto servery běží. Tento server má nainstalován Microsoft Content Management Server 2002 a funguje primárně pro editaci obsahu. Je začleněn do domény MD ČR, která se nazývá CM a sem přistupují autentikování doménový uživatelé. Kromě MCS 2002 zde běží další služby jako např. instance SQL Serveru, které zatím nebyly zkoumány a které jsou zde redundantní vůči hlavnímu databázovému serveru. S ohledem na čas ale toto nebylo řešeno a podle úvodního zkoumání se jeví, že tyto služby zde nejsou využívány a že jsou zbytečné. Tento server je oddělen od veškeré komunikace přes hlavní firewall, kde je povolena komunikace pouze na IP adresu databázového serveru, kam je protunelován. Web.config CMS 2002 má toto nastavení s ohledem na připojení k databázi: <connectionstrings><add name="registerconfigfile" connectionstring="data Source=de4;Initial Catalog=RegisterExtensionPack;User Id=sa;Password=Finex" providername="system.data.sqlclient" /> <add name="cmsconnstring" connectionstring="data Source=de4;Initial Catalog=mdcr-internet;User ID=sa;Password=Finex" providername="system.data.sqlclient" /> </connectionstrings> Macron Software 2 Ministerstvo dopravy realizační analýza
V tomto jsou dvě připojení, kdy jedno je systémové (RegisterConfigFile) a druhé je datové (CmsConnString) a to se připojuje k primární databázi mdcr-internet. Obě dvě připojení jsou mandatorní pro stávající běh CM2 a je nutné je mít jak ve web.config souboru, tak je obnovit i pro SQL Server. 1.1.3 Databázový server DE4 (172.17.2.13) Databázový server nebyl analyzován na základě jeho virtuálního otisku, ale primárně na základě databázového backupu všech dostupných databází, které jsou dostupné pro instanci tohoto SQL Serveru. Proto systémové informace o tomto serveru a jeho síťové konfiguraci budou doplněny během jeho reinstalace na nový server. Toto představuje jen vydefinování síťového protokolu a aplikačního portu, které již jsou pro SQL Server dané a toto bude pouze nastaveno na síťovém firewall. Systémově se jedná o Windows Server 2003 s instancí SQL Server 2000. 1.1.4 Publikační webový server server CM1 (172.17.1.21) Publikační server byl analyzován na základě získání backup otisku pomocí aplikace Acronis, kdy tato byla konvertována do virtuálního stroje VMWare. 2. Návrh postupu konverze 2.1.1 Virtualizace Pro virtualizaci navrhujeme využít produkty firmy VMWare a to konkrétně ESX servery. V případě virtualizace CMS prostředí se nebude jednat o komplexní řešení virtualizace, které je řešeno jako paralelní projekt v rámci ministerstva firmou Hewlett-Packard. Z tohoto důvodu navrhujeme pouze základní zalicencování, které se pak dále napojí na paralelní projekt firmy Hewlett-Packard a které bude řešeno komplexním prostředím pro správu a konfiguraci (to není předmětem tohoto návrhu). Cílové řešení tedy bude realizováno pomocí ESX serverů, kdy nepřepokládáme použití Virtual Center pro správu, takže jednotlivé instance ESX budou správovány samostatně vlastní konzolí. Po dokončení analýzy a implementace projektu firmou Hewlett-Packard dojde ke konsolidaci prostředí a propojením, takže po nasazení centrálního prostředí v podobě Virtual Center budou vidět i tyto ESX servery (pokud to bude umožněno síťovou konfigurací s ohledem na bezpečnostní nastavení). Produkty, které navrhujeme k instalaci na každý jednotlivý fyzický server: VMware Infrastructure Foundation Acceleration Kit for 6 Processors v rámci bundle je licenční oprávnění až do 6 CPU na fyzickém počítači. VI FND AK G SSS C Gold Support/Subscription* VMware Infrastruct ke každému produktu VMWare je povinnost zakoupit podporu a bez podpory nelze tento produkt pořídit, proto je uvedena i tato povinná položka. 2.1.2 Konverze do virtuálního prostředí Jednotlivé servery byly testovány na možnost konverze prostředím VMWare vcenter Converter, Microsoft Virtual Wizard a True Image Echo Server Win od společnosti Acronis. V případě produktu firmy Microsoft je vyžadována instalace Microsoft Service Operation Manager a také virtualizované servery musí být v doméně. Z tohoto důvodu toto řešení nebylo nakonec realizováno kvůli vyšší náročnosti na čas, složitost konfigurace a nutné součinnosti s pracovníky MD ČR (nebylo možné realizovat s ohledem na jejich nedostupnost kvůli dovoleným). Druhé řešení, tedy VMWare vcenter Converter, je možné aplikovat následně na jednotlivé servery: Macron Software 3 Ministerstvo dopravy realizační analýza
1. Lze jej snadno aplikovat na doménový CMS server CM2, kde je možné pomocí tohoto produktu získat základní image systému (ten je pak nutné dále upravit, viz. kapitovala Workflow konverze serverů ). Ten je po rekonfiguraci funkční a je možné jej virtualizovat a propojit s databázovým serverem (po přenastavení web.config). 2. Bezpečnostní nastavení firewall umožňila získat také image SQL serveru. Zde ale nepředpokládáme, že by bylo nutné tento postup aplikovat (i s ohledem na časovou náročnost) a server DE4 bude kompletně reinstalován a obnoven ze záloh databází. 3. Server CM1 se nepodařilo připravit pro virtualizaci pomocí nástroje VMWare vconverter. Zde je vyžadováno sdílené místo, které je dostupné jak konvezní službou dočasně nainstalovanou na server CM1, tak i z počítače, kde běžel primární konverzní program (vnitřní síť MD ČR doména). Pro konverzi tohoto počítače není možné za stávající konfigurace tento produkt použít. Posledním řešením je produkt True Image Echo Server Win byl nasazen pro vytvoření kompletní zálohy pro server CM1, kde se nepodařilo provést konverzi pomocí produktu firmy VMWare. Zde byl získán systémový obraz a ten následně konvertován do prostředí VMWare pomocí VMWare vcenter Converter. Níže je uvedena tabulka, která uvádí přehled funkčních produktů, kterými lze v současné konfiguraci MD ČR provést konverzi: CM1 CM2 DE4 VMWare Converter Ne Ano Ano Acronis TIESW Ano Ano Ano Microsoft Wizard Ne Ne Ne Pro konverzi serverů navrhujeme tyto technologie a k nim vázané servery: CM1 bude vytvořen systémový otisk pomocí Acronis TIESW a z něj VMWare image. CM2 image bude vytvořen pomocí VMWare vcenter Converter. DE4 nebude vytvořen žádný systémový image. Budou pořízeny pouze backup zálohy databází a z nich obnoven stav pro novou instalaci. 2.1.3 Workflow konverze serverů Konverze serverů by měla probíhát v následujících krocích: 1. Konverze serveru DE4 a. Zálohování databází na serveru DE4 na libovolné přenosné zařízení (např. USB disk). b. Instalace nového virtuálního serveru s Windows Server 2003 na základě licenčního klíče MD ČR. c. Instalace SQL Server 2000 do vytvořeného virtuálního serveru na základě licenčního kklíče MD ČR. d. Obnova dat z přenosného zařízení do virtualizovaného prostředí. e. Konfigurace lokálního Windows firewall pro povolení přístupu k SQL Server (konfigurace portu 1433 >Any). 2. Konverze serveru CM1 a. Na server CM1 se nainstaluje aplikace Acronis TIESW. b. Po instalaci je nutný restart počítače, takže je nutné toto plánovat mimo standardní provoz! c. Následně se vytvoří systémový obraz všech disků a ten se bude generovat do přenosného média (např. USB disk). d. V aplikace VMWare Server je nutné vytvořit instanci virtuálního stroje WinCM1a pro Windows Server 2003. e. Následně se pomocí VMWare vcenter Converter vygeneruje na základě tohoto otisku virtuální stroj a to do nově vytvořeného VMWare Server a díky tomu se vytvoří jednotlivé virtuální disky (vmdk). Ty odpovídají těm, které byly přítomné v CM1 ve fyzické instalaci. Macron Software 4 Ministerstvo dopravy realizační analýza
f. Vytvoří se další nová instance WinCM1b a k ní se připojí jen a pouze ty disky, které jsou získané ze zálohy Acronis (odstraní se prvotní virtuální disk, který vznikl při vytvoření WinCM1a). Pro použití aplikace WMWare Converter je nutné mít přístup k cílovému serveru jako administrátor. 3. Konverze serveru CM2 a. V aplikaci VMWare Server je nutné vytořit instanci virtuálního stroje WinCM2 pro Windows Server 2003. b. Následně se pomocí aplikace VMWare vcenter Converter vygeneruje otisk serveru CM2 podobně jako v předchozím bodu a k takto vygenerovanému otisku se vytvoří duplicitní WinCM2b a k němu se překonfigurují vygenerované disky. 2.1.4 Časování konverze Jednotlivé fáze konverze je nutné časovat s předstihem, protože jsou časově značně náročné. Pro konverzi serverů na základě našich stávajících zkušeností z prostředí MD ČR předpokládáme následující hodnoty (k těmto hodnotám pak je nutné přičíst čas nutný na doplňující konfigurace na firewall, přístup k serverům atd.): CM1 CM2 DE4 Režie přípravy 1-2 hodiny 1-2 hodiny Do hodiny Čistý čas generování 4-7 hodin 5-6 hodin Do hodiny (backup) 3. Návrh virtualizovaného prostředí 3.1.1 Celkový návrh Nové prostředí poběží v prostorách Nagano hostovaných firmou O2, kde budou již zajištěné základní infrastrukturní služby včetně bezpečnosti. Přesto předpokládáme, že toto hostitelské prostředí nebude pod přímou kontrolou MD ČR a tím je možné jej označit za potencionálně nepřátelské. Z tohoto důvodu pak vycházíme pro náš návrh a pro řešení, které by mělo toto reflektovat. Pokud služby poskytované v rámci tohoto hostování nenaplní tato rizika, pak se jenom zvýší úroveň našeho návrhu, ale z důvodu bezpečnosti a spolehlivosti řešení raději předpokládáme spíše pesimistický scénář. Níže je náhled na prostředí s virtualizací v rámci hostingu O2 a popis jednotlivých bodů: Internet O2 Network jedná se o předpokládané nebezpečné prostředí. Tímto prostorem budou přistupovat uživatelé z veřejného internetu. MD ČR O2 Network jedná se o zvláštní připojení pro MD ČR, které zabezpečenou cestou poskytuje připojení do prostředí Nagano. Firewall1 O2 jedná se o zabezpečení hostingu a O2 prostředí. Předpokládáme, že O2 bude moci nakonfigurovat pro jednotlivé síťové segmenty bezpečnostní parametry. Na vnějším perimetru by tedy měl být povolen protokol http s porty 80 a 443. Firewall2 O2 jedná se o ochranu MD ČR, bude řešeno O2 a konfigurace není předmětem tohoto dokumentu. Z pohledu konfigurace Firewall2 O2 pak je nutné povolit porty pro přístup ESX1 a ESX2. Pro VI klienta jsou nutné následující protokoly a porty (in/out): o TCP 903 o TCP 902 o TCP 443 Firewall MDČR1 vnější ISA Server, který kontroluje přístup z vnějšího internetu. Podle informací od bezpečnostního technika MD ČR není možné tento server konfigurovat tak, aby přes něj šla jen a Macron Software 5 Ministerstvo dopravy realizační analýza
pouze vnější internetová komunikace, tedy jen port 80 a 443. Je zde nutné povolit i port 1433 a 1434, které jsou použité pro TDS protokol a komunikaci CM2 s DE4. Firewall MDČR2 na svých rozhraních (interfaces) budou povoleny následující scénáře: o IP CM1 (Firewall MDČR1) in/out na IP DE4, porty 1433/1434 o IP Firewall1 O2 in/out na IP CM1, porty 80, 443 o IP CM2 (Firewall MDČR1) in/out IP DE4, porty 1433/1434 3.1.2 Projektový plán konverze Následující obrázek ukazuje návrh projektových kroků a jejich časování, kdy návrh je poměrně velmi časově striktní. Pro realizaci projektu na MD ČR je nutné, aby byla garantována časová součinnost a to včetně volných a svátečních pracovních dnů. I tak je projekt poměrně časově optimistický, protože je zde mnoho rizik a není počítáno prakticky s žádnou rezervou. Kromě toho chybí i čas nutný na otestování celého systému. Přesto je možné tento projekt realizovat, ale je nutné 100% zajistit výše zmíněnou časovou součinnost všech zainteresovaných rolí ze strany MD ČR. 3.1.3 Jednotlivé projektové kroky V předchozí kapitole byly popsány projektové kroky, které je nutné provést k realizaci a dokončení konverze CMS serverů MD ČR a zde je jejich detailní popis: 1. Příprava konverze serverů Během této fáze dojde ke konfiguraci firewall a síťového prostředí na MD ČR a to tak, jak je uvedeno v dokumentu a jak bylo provedeno během provádění analýzy prostředí CMS. Jedná se především o: a. Nastavení adminitrátorského účtu na CM2. b. Instalace záznamového média k serveru CM2 a nebo připojení média k lokální stanici s VMWare vcenter Converter. c. Připojenízáznamového média kcm1. Macron Software 6 Ministerstvo dopravy realizační analýza
d. Instalace a aktivace Acronis TIESW na CM1 a naplánování jeho restartu. e. Naplánování vytvoření záloh tak, aby reflektovaly poslední aktuální stav před konverzí do nového prostředí. 2. Vytvoření image ze serverů na MD ČR a. Generování image pro VMWare Converter (viz. Časování konverze ) a Acronis. 3. Vytvoření virtuálních strojů a konfigurace a. Přegenerování Acronis backup do VMWare image. b. Rekonfigurace VMWare image pro CM2. c. Rekonfigurace CM1. 4. Instalace ESX serverů na O2 a. Akreditovaný partner provede fyzickou instalaci ESX serveru na servery MD ČR v prostorech Nagano. b. Dojde k nastavení firewall a otevření přístupu k serveru (Firewall 1 O2) c. Otestování přístupu k ESX z internetu pomocí testovacího virtuálního stroje. 5. Instalace image na ESX servery a konfigurace prostředí a. Záznamová média se připojí jednotlivé k ESX1 a ESX2, kde se stáhnout vytvořené VMWare image. b. Rekonfigurace virtuálních strojů CM1 a DE4 do prostředí Nagano. c. Konfigurace Firewall MDČR 1 a Firewall MDČR2. d. Konfigurace Firewall 2 O2 pro přístup CM2 k DE4. 3.1.4 Projektové role Tyto role ze strany MD ČR jsou mandatorní a je nutné garantovat jejich dostupnost po celou dobu běhu projektu a to včetně volna a víkendů, aby bylo možné projekt realizovat do 31.12. 2008 včetně. Správce sítě (součinnost pro generování systémových obrazů a konfigurace nového prostředí) Bezpečnostní technik (součinnost při zajištění přístupu a průchodu firewall ke generování systémových obrazů a následně ke konfiguraci nového prostředí) Zaměstnanci O2 fyzická ostraha (součinnost pro fyzický přístup do hostingového centra) Zaměstnanci O2 správce sítě (součinnost při konfiguraci síťového přístupu k serverům) 3.1.5 Požadavky na hardware serveru Pro provoz virtualizovaného prostředí na obou fyzických serverech je nutné splnit základní hardware požadavky. Ty jsou následující. Hardware konfigurace ESX1: 4GB RAM Pokud zde bude virtualizováno pouze CM1, je tato paměťová konfigurace plně dostačující. V případě přidání dalších virtuálních strojů je nutné počítat s více RAM v závislosti na typu virtualizovaného prostředí. 1 CPU (> 2GHz) Min. 3 sítové výstupy o 1 výstup na Firewall 2 O2 o 1 výstup na Firewall MDČR1 pro přístup z internetu o 1 výstup na Firewall MDČR1 pro přístup na DE4/Firewall MDČR2 Min. 200GB diskového prostoru Hardware konfigurace ESX2: 6GB RAM, ideálně 8GB RAM pro další rozvoj 1CPU (>2GHz) Min. 2 síťové výstupy o 1 výstup na Firewall 2 O2 Macron Software 7 Ministerstvo dopravy realizační analýza
o 1 výstup na Firewall MDČR2 (zde pak budou implementována pravidla pro routování z IP CM1/Firewall MDČR1 a CM2/Firewall MDČR1) Min. 300GB diskového prostoru (lokální prostor je plánován pro využití na recovery scénáře a pro odkládání snapshots virtuálního prostředí). 4. Software licence S ohledem na realizaci projektu je nutné zajistit pro MD ČR následující software licence,. Které jsou nutné primárně pro etapu konverze: 1. Licence na VMWare ESX Server pro 2 fyzické servery 2. Licence na Acronis True Image Echo Server for Windows licenci je možné pořídit přímo na internetu, kde je i cena produktu: http://www.acronis.cz/spolecnosti/produkty/true image echo server forwindows/ Licencování VMWare ESX Server je složitější a závisí na rozsahu správy, kterou chce MD ČR mít nad prostředím VMWare zajištěnou, jak již bylo uvedeno v kapitole Virtualizace. Pro úplnost jsou zde uvedeny i cenové náklady spojené s pořízením jedné licence ESX: Položka Cena s DPH VMware Infrastructure Foundation Acceleration Kit for 6 Processors 61 302,14 Kč VI-FND-AK-G-SSS-C-Gold Support/Subscription* VMware 15 449,82 Kč Infrastruct Macron Software 8 Ministerstvo dopravy realizační analýza