In diesem Video thematisieren wir die Migration auf OctoGate Version 4
im Rahmen einer Installation der paedML mit dem Landesmedienzentrum Baden-Württemberg.
Wie Sie sicherlich schon wissen beinhaltet Ihre OctoGate sowohl die Firewall-Funktionalität
als auch den Jugendschutz und eine Management-Funktion für das WLAN.
Neuerdings haben wir auch Netzwerkswitches und Infrastrukturkomponenten in unserem Portfolio
und bieten Möglichkeiten für Bring your own device mit Captive Portal Seiten und Mobile Device Management.
Um einen Überblick zu verschaffen, sprechen wir zunächst über die neuen Features der OctoGate 4.
Nähere Details sind in den weiteren Erklärvideos oder auf unseren Websites zu finden.
Unsere WebGUI hat sich deutlich verbessert: Unter anderem gibt es nun einen Shell Zugriff auf Betriebssystemebene direkt von der GUI aus.
Netzwerkkarten sind deutlich freier definier- und konfigurierbar.
Die Einrichtung eines neuen VLANs z.B. ist mit 2 Klicks erledigt
und braucht nicht mehr über den OctoGate Support implementiert werden.
Wir können mit einer erhöhten Performance bei gleicher Hardware sowie einer Systemstartzeit von unter 120 Sekunden punkten.
Zudem ist bei einem System-Upgrade in 80% aller Fälle kein Reboot mehr nötig.
Das wird alles on the fly gemacht.
Es gibt keine Probleme mehr mit abgelaufenen SSL Zertifikaten, da diese automatisch neu generiert werden
und Sie können sich auf die neue OctoGate App „OctoGate.online“ im App- und Playstore freuen.
Mit dieser können Sie das Gesamtsystem steuern und als Lehrerin oder Lehrer die Surfkontrolle bedienen.
Viele andere Features wie SD-Multi-WAN runden die Sache ab.
Die neue OctoGate 4 unterstützt die 2-Faktor-Authentifizierung zum Beispiel mit einem QR-Code über Google Authenticator
und erkennt natürlich weiterhin sehr gut Denial of Service Angriffe von innen und von außen.
Die Virenscanner gibt es mittlerweile als Primär- und Sekundärlösung mit einem kommerziellen sekundären Scanner.
Sämtliche Konfigurationen für die Access Points, Switches und die OctoGate sind in unserer GUI integriert
und alle Daten werden automatisch in unserem Rechenzentrum gesichert, sodass wir bei einem Systemausfall das entsprechende Backup haben.
Alle Safesearch Funktionalitäten, ob nun YouTube, Google, Bing oder DuckDuckGo, können nun auch ohne HTTPS-Stammzertifikat auf Client Seite implementiert werden.
Ein weiteres Feature ist das System Backup und Restore, also die Möglichkeit die gesamte Systemkonfiguration in eine Sicherungsdatei zu exportieren
und auf anderen Systemen auch wieder importieren zu können.
Die Online-Hilfe als PDF ist kontextsensitiv und sehr reichhaltig.
Die Benutzeroberfläche gibt es auf Deutsch und Englisch mit Theme-Support – unteranderem mit dem LMZ-Theme für die paedML.
Die Administratoren können außerdem den Online Chat nutzen, mit dem sie aus der GUI der OctoGate direkt unseren Support erreichen können.
Mittlerweile ist die Firewall auch multimandantenfähig. Soll heißen, dass auf einer Firewall Instanz mehrere Schulen fahren können.
Zudem hat sich der Support für z.B. die Nextcloud deutlich verbessert.
Auch im Netzwerkbereich gibt es eine ganze Menge Neuerungen:
Sammlungen von MAC- bzw. IP-Adressen können nun zu einer Hostgruppe in der Firewall GUI zusammengefasst
und für diese Hostgruppe Regeln definiert werden – dies ist beispielsweise für Tabletwagen und Beamer von Vorteil.
So kann Beamern der Zugang zum Netz direkt erlaubt oder in einer Unterrichtssituation die gesamte Hostgruppe z.B. ein Tabletwagen gesteuert werden.
HTTPS-Scanning geht jetzt auch ohne Stammzertifikat, d.h. Sie haben keine Probleme mehr mit Smartphones, Tablets und der Zertifikatsinstallation.
Alle Daten werden jetzt mit der sogenannten Deep Packet Inspection auf Layer 7, also die wirklichen Dateninhalte, überprüft.
Vieles ist außerdem im Bereich Logging dazu gekommen und wir unterstützen jetzt auch von der Firewall direkt Multicast DNS,
sodass im Apple Bereich das Drucken und weitere Dinge vereinfacht wurden.
Reverse Proxy für die Konsole der paedML bzw. für Nextcloud ist ebenfalls deutlich überarbeitet worden
und beinhaltet jetzt eine Web Application Firewall, um den Sicherheitsfaktor nochmals zu erhöhen.
Auch im WLAN-Bereich hat sich einiges getan.
Bitte beachten Sie, dass die AC-1000 Access Points eine inzwischen 8 Jahre alte Produktgeneration sind und in der OctoGate 4 nicht mehr unterstützt werden.
Im Zusammenhang mit der OctoGate 3 können wir Ihnen jedoch weiterhin Support bieten.
Die OctoGate 4 unterstützt die paedML von Version 3 bis zur Aktuellen.
Es sind beliebig viele WLANs konfigurierbar und Sie können Gebäudepläne hinterlegen.
Authentifizierung 802.1x und X509 gehen out of the box aus der GUI heraus und Sie haben umfangreiche Möglichkeiten in Sachen grafischer Traffic Analyse – können also schauen,
welcher Client sich mit welchem AP verbunden hat.
Selbst ein direkter Konsolen Zugriff auf den Access Point ist möglich und wir unterstützen mit der OctoGate 4 auch unsere neuen Access Points mit LTE Support.
Diese sind für Positionen von Access Points geeignet, wo keine direkte Internetverbindung vorhanden ist wie z.B. eine Sporthalle.
Kurz zu den Neuerungen bzgl. unserer Schnittstellen:
Im Rahmen der paedML haben wir mit der OctoGate 4 eine Rückwärtskompatibilität zu der paedML 3 und 4 und natürlich Support für paedML 5.
Hier ist eine neue Schnittstelle in Planung, sodass wir webbasierend zusammen mit der OctoGate App die Unterrichtssteuerung noch weiter verbessern können.
Die OctoGate 3 ist dabei natürlich weiterhin kompatibel mit der paedML 3, 4 und 5.
Kommen wir zum Thema Contentfilter und Logging:
Unser Jugendschutzfilter beinhaltet 81 Millionen URLs. Für Webseiten gibt es nun einen Freigabe-Workflow.
D.h. eine Schülerin oder ein Schüler kann bei einer gesperrten Seite bei der Lehrerin oder dem Lehrer eine Freigabe dieser beantragen.
Im Bereich der Dokumentenverwaltung haben wir jetzt Owncloud on Board und bieten auch einen Aufgabenmanager für To-Do-Listen.
Einiges hat sich für das Logging geändert: So wird jede Änderung von Usern und Administratoren protokolliert.
Natürlich besteht weiterhin das DSGVO-konforme Surflog und das Logging der Zugänge via VPN.
Neben OpenVPN unterstützen wir jetzt auch WireGuard als VPN Client.
Für mobile Geräte mit QR-Code und im Windows Bereich ist Windows VPN Support alias IKE V2 dazugekommen.
Alle unsere Switches werden direkt von der Firewall gesteuert und konfiguriert.
Es gibt eine automatische Erkennung von Netzen und Switches und auch direkten Zugang auf Konfigurationen und Konsole von der Firewall aus.
Nun aber zur eigentlichen Migrationstätigkeit: Die Migration geschieht in place, d.h. Sie brauchen nichts tun, sondern wir migrieren Ihre Daten.
Es werden sowohl die Active Directory Informationen, also Passwörter und Ähnliches,
alle VPN Server und Clients, alle WLAN Konfigurationen, Ihr Lizenzschlüssel, sämtliche Netzwerkkonfigurationen
als auch der größte Teil der Firewall-Regeln migriert.
Oftmals sind Firewall-Regeln in der neuen Version nicht mehr notwendig.
Falls dies doch der Fall sein sollte, wenden Sie sich bitte an den OctoGate Support.
Zudem übernehmen wir auch die Funktionalitäten des Reverse Proxys, sowohl für paedML, Nextcloud und evtl. bestehende Exchange Reverse Proxy Informationen.
Wie läuft so eine Migration technisch ab?
In Schritt 1 übermittelt die OctoGate 3 sämtliche Konfigurationen und Kundenanpassungen an unser zentrales Managementsystem OctoGate Central.
Dort werden diese Daten analysiert.
Sobald die Analyse erfolgreich und konsistent war, wird die Migration freigegeben und zurück an die OctoGate übermittelt.
Diese installiert einen neuen Bootloader, also ein neues Startprogramm für das Betriebssystem und macht einen Reboot.
Im Rahmen dieses Reboots fragt die OctoGate mit einem Startprogramm die Installationsdateien bei OctoGate Central an.
Dazu müssen die Ports 443 HTTPS bzw. TCP und 4290 UDP freigegeben sein.
Hat dies geklappt, bekommt die OctoGate die neuen Downloadfiles und installiert das gesamte neue Betriebssystem frisch, also ohne sämtliche Kundendaten.
Hat dies nicht funktioniert, wird die OctoGate zurück in die Version 3 gebootet.
Nach dem ersten Boot der OctoGate mit den neuen Files, holt sich das System die Migrationsdaten von OctoGate Central, spielt sie ein und die Installation ist komplett.
Der konkrete Ablauf der Migration sieht wie folgt aus:
Der OctoGate Support wird Sie kontaktieren und informiert über die bevorstehende Migration, wobei Sie eventuelle Sonderkonfigurationen besprechen können.
Unser Tipp: Machen Sie sich vor der Migration zur Sicherheit einen Snapshot auf VMware Seite.
Die Migration wird von uns gesteuert und passiert automatisch. Das dauert ca. 30 Minuten.
Dann gibt es noch ein Sonderkapitel „Nacharbeiten“.
Es ist also möglich die VM ESXI-seitig noch ein wenig zu upgraden beispielsweise Netzwerkkarten und RAM anzupassen.
Hierbei geht es jedoch nur um optionales Tuning – die Funktionalität der Firewall an sich bleibt unberührt.
Anschließend meldet sich der OctoGate Support aktiv zurück und Sie besprechen evtl. vorgenommene Customizations.
Nun schauen wir uns eine Migration anhand des Livesystems auf Basis einer OctoGate der Version 3.0.43 an.
Das ist die simulierte Startzeile unseres Supports.
Daraufhin werden die Daten an OctoGate Central geschickt.
Central erteilt seine Freigabe und das System startet neu.
Jetzt starten wir im Grunde mit einem Probe Bootloader, der erst einmal prüft, ob OctoGate Central an den richtigen Ports erreichbar ist,
ob alle Daten eingespielt werden können und ob die externe Anbindung funktioniert. In diesem Fall besteht eine externe Anbindung über eine statische IP.
Es wird ein VPN Tunnel aufgebaut und das System holt sich den neuen Bootloader und das neue Systemstartprogramm.
Ab diesem Zeitpunkt entscheidet das System: Wir migrieren.
Nun wird der Bootloader auf das System geschrieben und die Partitionstabelle erstellt.
Nach einem weiteren Boot, wird OctoGate Central über 443 TCP konnektiert und das System zieht Linux, Datenbank und Bootloader.
Es erfolgt noch ein Neustart.
Danach ist das System innerhalb der nächsten 3 Minuten komplett bereit.
Hier sehen Sie die initiale Startphase, in der das Betriebssystem und die Datenbank gestartet werden.
Wenn dies erfolgreich war, erscheint das System direkt im LMZ-Theme und Sie können sich mit Ihren altbekannten Login-Daten anmelden.
Die gesamte Konfiguration ist übernommen worden.
Auch im Netzwerksetup zu sehen ist die Übernahme sämtlicher Schnittstellen und statischer IPs sowie der WLAN SSIDs.