Best Practice Guide UMA2.0 mit Tobit David

notempty

Dieser Artikel bezieht sich auf eine nicht mehr aktuelle Version!

notempty

Der Artikel für die neueste Version steht hier

notempty

Zu diesem Artikel gibt es bereits eine neuere Version, die sich allerdings auf eine Reseller-Preview bezieht

Letzte Anpassung zur Version: 2.5.24 (05.2020)

Neu:

• Neue Verschlüsselung für Domänenanbindung möglich
• ggf. Änderung der Kommunikationssicherheit mit einem AD erforderlich

---

Positionierung des UMA im internen Netzwerk

Für die Einbindung der UMA-Appliance in das bestehende Netzwerk gibt es verschiedene Möglichkeiten. Der Einsatz ist abhängig von der eingesetzten E-Mail-Empfangs- und -Versandtechnik.

Am häufigsten wird der sogenannte Hub-Mode verwendet, da hierfür die bestehende Netzwerkstruktur nicht verändert werden muss und dieser Modus als einziger in der Lage ist, auch E-Mails die andere Protokolle als POP3, IMAP oder SMTP nutzen (z.B. via Outlook über MAPI) zu archivieren.

Inbetriebnahme

Im Auslieferungszustand sind einige Einstellungen vorkonfiguriert. Dazu gehören z. B. die IP-Adresse und der Administrator-Zugang.

Voreinstellungen:

IP-Adresse: 192.168.175.254
Subnetzmaske: 255.255.255.0
Benutzername: admin
Passwort: insecure

Verbinden sie das UMA mit einem Stromanschluss und lassen sie das Gerät hochfahren.

Anpassen der IP-Adresse

Um die Appliance in Ihrem bestehenden Netzwerk einzubinden, müssen Sie die IP-Adresse anpassen.
Dazu haben Sie zwei Möglichkeiten: Über eine „direkte Verbindung“ und ändern der IP Adresse des UMA oder eine Anpassung der „Netzwerkverbindung“ des Client.

Für die direkte Verbindung schließen Sie einen Monitor und eine Tastatur direkt an die Appliance an und konfigurieren diese, bevor sie in das bestehende Netzwerk eingebunden wird.

Die direkte Verbindung mit Tastatur und Monitor dient nur dazu, die IP-Adresse temporär anzupassen und für den Netzwerk Einsatz vorzubereiten, ohne die IP-Adresse des Arbeitsplatz PCs zu wechseln.

Melden Sie sich mit dem vorkonfigurierten Administrator Account an:
login: admin
password: insecure

Sie sind jetzt als Benutzer mit eingeschränkten Superuser-Rechten am System angemeldet.

In diesem Beispiel benutzen wir das Subnetz 192.168.100.0/24. Sinnvoll wäre, das Subnetz zu wählen, in dem sich auch der E-Mail-Server befindet.
Achten Sie darauf, dass die von Ihnen gewählte Netzwerk-IP für das UMA nicht schon von einem anderem Gerät Ihres Netzwerkes genutzt wird.

Ändern Sie die IP-Adresse der UMA-Appliance nun mit folgendem Befehl:

ip addr replace 192.168.100.254/24 dev bridge0

Achten Sie darauf, dass die so durchgeführte IP-Adressänderung nur temporär ist und nach einem Neustart wieder auf den Auslieferungszustand zurückgesetzt wird.
Zur permanenten Speicherung müssen Sie die IP-Adresse im Web-Interface ändern.

Anschließend verbinden Sie das UMA mit einem Netzwerk-Switch des Subnetzes.

Zugriff auf die Administrationsoberfläche

Die Konfiguration des UMA erfolgt über eine Weboberfläche, die mit einem Internetbrowser über eine verschlüsselte Verbindung vorgenommen wird.

Nach dem Anschluss des UMA und der Anbindung an das Netzwerk über ein Patch-Kabel, öffnen Sie Ihren Internetbrowser (wir empfehlen Mozilla Firefox) und geben in das URL-Eingabefeld die IP-Adresse inklusive Port des UMA ein:

https://192.168.100.254:11115

Da es sich um eine mit einem Zertifikat verschlüsselte Verbindung handelt, muss dies mit „Ich kenne das Risiko“, „Ausnahmen hinzufügen" und „Sicherheits-Ausnahmeregel bestätigen“ bestätigt werden.

UMA-Administration-Center

Login

Als nächstes sehen Sie das Login-Fenster des UMA-Administration-Center. Benutzername und Passwort des UMA im Auslieferzustand sind:

Benutzername: admin
Kennwort: insecure

Nach einem Klick auf den Button befinden Sie sich im Status Fenster.

Lizenz importieren

Lizenz importieren

Wechseln Sie in den Bereich "Lizenz" unter der Registerkarte Setup.

Klicken Sie auf und wählen Sie im Dateifenster die Lizenzdatei vom Dateisystem Ihres Rechners.

Klicken Sie dann im Webinterface auf den Button

Sollte Ihnen noch keine Lizenz-Datei vorliegen, erhalten sie diese im Securepoint Registrierungsportal unter http://my.securepoint.de

Storage initialisieren

Archiv Speicher initialisiert

Wechseln Sie im Register „Setup“ auf „Archiv-Speicher“. Hier werden die Festplatten für den weiteren Gebrauch vorbereitet.

Sollte eine Initialisierung des Archiv-Storage noch nicht stattgefunden haben, klicken Sie auf und warten Sie bis dieser Vorgang abgeschlossen ist.
Bei einer Appliance mit Software-RAID, wird das korrekte RAID-Level automatisch gewählt.

Bei vorhandenem Hardware-RAID-Controller sind die Festplatten auf diesem schon konfiguriert und werden daher nur als eine Festplatte angezeigt.

IP-Adresse, Gateway, DNS und Domain anpassen

Netzwerk Einstellungen

Um die IP-Adressen dauerhaft einzustellen, wechseln Sie unter „Setup“ in den Bereich „Netzwerk“.
Hier passen Sie die IP-Adresse des UMA an ihr lokales Subnetz an und tragen die IP-Adresse der Firewall als Router-IP-Adresse ein.

Im Anschluss wird das UMA neu gestartet und ist dann unter der neuen IP-Adresse im Netz erreichbar.

Im Abschnitt „Lokale Einstellungen“ tragen Sie den Hostnamen des UMA und die lokale Domain ein.

Sollte die Firewall in Ihrem Netzwerk auch als Nameserver dienen, tragen Sie diese IP-Adresse in das entsprechende Feld im Bereich „Nameserver Einstellungen" ein. Ansonsten wählen Sie die IP-Adresse des DNS-Servers ihres Netzwerkes.

Benutzer Konten

Als nächstes stellen Sie ein, welche E-Mail-Benutzerkonten vom UMA-System verwaltet werden und von welcher Quelle die Konteninformationen bezogen werden.

Als Quellen können Sie wählen:

• Active Directory
  
• andere LDAP Server
  
• lokale Nutzer-Liste

Unsere Empfehlung ist die Benutzerkontenverwaltung im Active Directory, da damit folgende Vorteile verbunden sind: Passwörter sind synchron zu Windows-Anmeldung Es muss nur eine Benutzerdatenbank gepflegt werden

Hinzufügen des UMA zum Active Directory

Damit die Authentifizierung des UMA ebenfalls über das Active Directory geschehen kann, muss diese als User hinzugefügt werden.
Dazu öffnen Sie ihr Active Directory auf ihrem Windows-Server und legen unter ihrer Netzwerk-Domäne einen neuen User mit z.B. dem Namen UMA an und hinterlegen ein Passwort. Dieses Konto bekommt normale Benutzerrechte.

Hinzufügen der E-Mail Adressen im Active Directory

Da Tobit keine Schnittstelle für eine E-Mail-Adress-Übertragung zum Active Directory bietet, müssen die E-Mail-Adressen manuell eingetragen werden.
Dazu können Sie das Tool AdMod benutzen, welches Sie am besten mit einem Script veranlassen die gewünschten E-Mail Adressen den Usern im Active Directory zuzuordnen.

Ein PowerShell Script, nennen wir es einfach mal "addemail", könnte dann wie folgt aussehen:

 1  # E-Mailadresse hinzufügen
 2
 3  # Mitarbeiter1
 4  admod -b "cn=Mitarbeiter1,cn=Users,dc=securepointdemo,dc=local" proxyaddresses:+:smtp:mitarbeiter1@securepointdemo.local
 5  admod -b "cn=Mitarbeiter1,cn=Users,dc=securepointdemo,dc=local" proxyaddresses:+:smtp:m1@securepointdemo.local"
 6
 7  # Mitarbeiter2
 8  admod -b "cn=Mitarbeiter2,cn=Users,dc=securepointdemo,dc=local" proxyaddresses:+:smtp:mitarbeiter2@securepointdemo.local
 9  admod -b "cn=Mitarbeiter2,cn=Users,dc=securepointdemo,dc=local" proxyaddresses:+:smtp:m2@securepointdemo.local"
10
11  # Mitarbeiter3
12  admod -b "cn=Mitarbeiter3,cn=Users,dc=securepointdemo,dc=local" proxyaddresses:+:smtp:mitarbeiter3@securepointdemo.local
13  admod -b "cn=Mitarbeiter3,cn=Users,dc=securepointdemo,dc=local" proxyaddresses:+:smtp:m3@securepointdemo.local"
14
15

Dieses Script ist leicht erweiterbar und das Tool AdMod sorgt dafür, dass auch bei erneuter Ausführung des Scripts, die E-Mail-Adressen nicht mehrfach angelegt werden.

Eine kleine Anmerkung zur Syntax des Script: Das "+" hinter "proxyaddresses:" fügt eine E-Mail Adresse hinzu. Würden Sie hier ein "-" eintragen, würde diese Adresse entfernt werden.

Diese Einträge können anschließend bei den entsprechenden Usern im Active Directory unter Attribute Editor -> ProxyAdresses eingesehen werden, wenn hier unter "Ansicht" die erweiterten Features aktiviert wurden.

ActiveDirectory Anbindung

Windows AD Anbindung ab Version 2.5.24

Zurück auf dem UMA wechseln sie unter „Setup" in den Bereich „Accounts" und wählen im Abschnitt „Benutzer Repository“ den Eintrag „Windows Active Directory“ aus.

Setzen Sie im Abschnitt „Windows-Domänenmitgliedschaft“ den Haken auf „Aktiviert" und tragen Sie die lokale Windows-Domäne, die Arbeitsgruppe, die Domänen-Server-IP-Adresse ein. Geben Sie weiterhin den Namen des Administrator-Kontos und das zugehörige Passwort an, um die Appliance in die lokale Domäne einzubinden.
Nach dem Klick auf den Button zeigt ein grünes Symbol den erfolgreichen Beitritt des UMA in der Domäne.

Ab UMA Version 2.5.24 ist es möglich die LDAP verschlüsselung über SSL herzustellen.
Sollte hier die Option Keine aktiviert sein ist zwingend eine Änderung vorzunehmen.
In ADV190023 weist Microsoft daraufhin, daß zukünftig eine Signierung und Verschlüsselung des LDAP-Verkehrs erforderlich sein wird.

Auswahl einzelner Konten

Kontenauswahl

Achten Sie bei Nutzung eines Authentifizierungs-Dienstes wie Active Directory darauf, welche E-Mail-Konten wirklich archiviert werden müssen.

Im Abschnitt "Auswahl Einzelner Konten" haben Sie hierzu die Möglichkeit die zu archivierenden Konten genau zu selektieren und damit sehr viel "lizenzschonender" zu arbeiten. Dies geschieht durch Aktivierung des Feldes "manuelle Auswahl aktivieren".

Auswahl einzelner Konten

Kontenauswahl

Achten Sie bei Nutzung eines Authentifizierungs-Dienstes wie Active Directory darauf, welche E-Mail-Konten wirklich archiviert werden müssen.

Im Abschnitt "Auswahl Einzelner Konten" haben Sie hierzu die Möglichkeit durch Aktivierung des Feldes "manuelle Auswahl aktivieren" die zu archivierenden Konten genau zu selektieren und damit sehr viel "lizenzschonender" zu arbeiten. Werden in dem lokalen Active Directory die eMail-Adressen nicht mit den Benutzern/Public-Foldern synchronisiert, so sind diese im AD nachzutragen. Active Directory User Anbindung.

Lokale Nutzer-Liste

Lokale Nutzer

Sollten Sie keinen Authentifizierungs-Server betreiben, können Sie auch lokal eine Benutzerliste hinterlegen.

Hierzu haben Sie entweder die Möglichkeit diese über den Button einzeln anzulegen oder über den Button eine Liste im CSV-Format zu importieren.

Der Inhalt der .csv-Datei muss folgendes Format haben:

userid,password,firstname,lastname,email,optionalemail

CSV-Liste Importieren

Um diese zu importieren klicken Sie auf und, nachdem Sie eine entsprechende Datei ausgewählt haben, den Button

Lokale Nutzer angelegt

Anschließend werden die Nutzer im Abschnitt "Lokale Nutzer" angezeigt.

Globales Archivregelwerk

Globale Archivregel

Um sicher zu gehen, dass alle E-Mails archiviert werden, ist es sinnvoll eine globale Archivregel zu erstellen.

Wechseln Sie dazu unter "Administration" in den Bereich "Archiv-Regelwerk". Geben Sie in das erste Feld den Regel-Namen ein, wählen Sie „irgendeine Bedingung trifft zu“ und das Langzeitarchiv für 10 Jahre "LZA/10".

Als nächstes bestimmen Sie in der Regel, dass jede Quelladresse im E-Mail Header die ein @ beinhaltet archiviert werden soll:

E-Mail-Header > from > beinhaltet > @

Einrichtung eines Sammel-Postfachs und des Hub-Mode

Zwar ist es möglich, jedes David-E-Mail-Postfach einzeln zu archivieren, wir empfehlen jedoch auf dem David.fx-Server ein Sammel-Postfach einzurichten. Damit haben Sie folgende Vorteile:

• Es werden wirklich nur E-Mails auf das UMA übertragen
• Gute Steuerung und Filterung welche E-Mail-Benutzerkonten im UMA archiviert werden

Einrichtung des UMA Sammel-Postfachs auf dem Tobit David.fx

Benutzer anlegen

Benutzer Rechte

Legen Sie auf dem Tobit Server einen weiteren Benutzer an, den Sie zum Beispiel "UMA" nennen.

Achten Sie darauf, dass im Bereich "Rechte" die Funktion "Remote Access nutzen" aktiviert ist.

MailAccessServer autostart

MailAccessServer starten

Wecheln Sie bei dem Benutzer "UMA" auf Fernzugriff & Publizierung -> MailAccessServer -> Startyp und wählen dort die Option "Automatisch".

Klicken Sie anschließend auf "Dienst starten".

Wenn das Gitternetz erscheint ist der Server gestartet.

Diese Einstellung wird benötigt, damit die UMA mit den Standard-E-Mail-Protokollen auf den Tobit David zugreifen kann.

Als nächstes wechseln Sie auf den Client und klicken auf den Button "Unverteilt".

Rechts unten im Navigatorfenster wählen Sie den Benutzer "UMA", gehen auf Eigenschaften und wechseln in den Bereich "Zugang".

Tragen Sie hier den Benutzernamen und das Passwort ein und achten Sie darauf, dass die Option "Remote Access aktivieren" markiert ist.

Achtung! Die hier angelegten Zugangsdaten werden benötigt um die E-Mails vom UMA aus diesem Postfach abzuholen.

Öffnen Sie anschließend auf dem Posteingang des Benutzers "UMA" die Eigenschaften und aktivieren auch dort die Option "Remote Access aktivieren".

Die aktivierten Remote Access sind an den Händen an den Ordnern zu erkennen.

Damit die eingehenden und ausgehenden E-Mails der Benutzer auch in den Eingangs-Ordner des UMA kopiert werden, müssen bei den Ein- und Ausgangsordnern der entsprechenden Benutzer Regeln hinterlegt werden.

Einstellungen des UMA

E-Mail-Server Einstellungen

Unter „Setup“ im Bereich „E-Mail-Server“ aktivieren Sie im Abschnitt „Remote E-Mailserver Einstellungen“ den Hub-Mode und tragen die E-Mail-Domäne ein.

Nach einem Klick auf „Konto Hinzufügen“ im Abschnitt „Remote E-Mail-Konten“ öffnet sich eine Maske in der nun Angaben zum Mailserver erfolgen müssen.
Zu den Angaben der Mailserver, Login des Hub-Kontos sowie des zu verwendenden Protokolls (Automatische Auswahl, POP oder IMAP) müssen auch die Haken bei der zuvor angelegten Domain gesetzt werden.
Mit dieser Einstellung wird festgelegt, welche E-Mails aus dem Konto des E-Mailservers abgeholt werden sollen.

Weiterhin können Sie festlegen, wie häufig der Abruf der E-Mails erfolgen soll und wie groß die E-Mail maximal sein darf.

Nach dem Speichern der Einstellungen wird unter „Status“ der interne Mailserver angezeigt.

Einrichtung des Backup

Sie können das gesamte System entweder auf einen Netzwerkspeicher oder auf ein externes Speichermedium sichern.
Externe Speichermedien werden über einen USB-Anschluss an die Appliance angeschlossen. Es werden externe Festplatten und Flash-Speichermedien(USB-Sticks, etc.) unterstützt.

Backup Device

Zunächst definieren Sie im Abschnitt „Backup Devices“ das oder die Geräte auf denen die Backups gesichert werden sollen.

Tragen Sie einen Namen für das Gerät ein und wählen Sie den Typ Ihres Netzwerkspeichers aus. Zur Verfügung stehen:

- Windows-Share
- FTP
- SSH
- iSCSI
- USB

In Abhängigkeit des gewählten Typs ändern sich die Eingabefelder der Maske.

Windows Share

Windows7 Ordnerstruktur

Sehr häufig wird "Windows Share" verwendet. Achten Sie dabei darauf den korrekten Share-Namen einzutragen. Dies soll die nebenstehende Abbildung verdeutlichen.

Backup Devices mit Windows Share

Sollten Sie keinen Ordner auf dem Laufwerk eingerichtet haben, tragen Sie im Eingabefeld Ordner Folgendes ein:

Wichtig ist weiterhin die Eingabe des Benutzernamens und Passwort des Backup Server.

Nachdem alle benötigten Daten eingetragen sind klicken Sie auf und, zum Testen der Speicherverbindung, auf

Wenn alles funktioniert legen Sie mit einen weiteren Backup-Speicher an oder wechseln in den Abschnitt „Backup Jobs“.

iSCSI

Sehr interessant ist die Kombination von iSCSI mit dem Sicherungsformat Time Machine.

Bei Time Machine handelt es sich um inkrementelle Backups, welche weniger Speicherplatz benötigen.

Wählen Sie als Typ einfach „iSCSI“ aus, tragen Sie die Serveradresse ein und klicken Sie auf

Nach erfolgreicher Registrierung wird Ihnen die UUID des Laufwerks und das aktuelle Speicherziel angezeigt.

Um ein anderes Ziel auszuwählen, wählen Sie aus der Drop Down-Liste unter „iSCSI Ziel“ ein Ziel aus und klicken auf

Abschließend klicken Sie auf

Backup-Job

Im Abschnitt „Backup-Jobs“ werden regelmäßige Sicherungsläufe erstellt, die automatisch ausgeführt werden.

Backup Job mit Windows Share und tar

Backup-Job mit Windows Share

Auch hier tragen Sie zuerst den Namen des Jobs ein und wählen dann einen der von Ihnen angelegten Speicher aus.
Anschließend definieren Sie den Zeitplan dieses Jobs und die Anzahl der Backups.

Die Anzahl der Backups legt fest wie viele Backups vorgehalten werden.

Wenn Sie Null wählen ist die Anzahl der vorgehaltenen Backups unbegrenzt.

Als Sicherungsformat steht Ihnen bei Windows Share nur „.tar“ zur Verfügung.

Backup-Job mit Time Machine

Backup-Job mit Time Machine

Achten Sie darauf, dass das Sicherungsformat "Time-Machine" aufgrund der verwendeten Hardlinks nur in Verbindung mit iSCSI und USB einsetzbar ist.

Manuelles Backup erstellen

Neben den automatisierten Backups, gibt es natürlich auch die Möglichkeit ein Backup "per Knopfdruck" zu erstellen.
Dazu wechseln Sie einfach in den entsprechenden Backup-Job und klicken auf

Backup wiederherstellen

Das Wiederherstellen eines Backups ist ausschließlich mit der Konfiguration möglich, die während des Backup-Laufes aktiv war, da das Backup von der Konfigurations-ID abhängig ist.

Konfiguration Exportieren

Konfiguration Exportieren

Wechseln Sie unter "Administration" in den Bereich "Wartung" und klicken Sie im Abschnitt "Konfiguration Import/Export" auf .
Dieser wechselt daraufhin auf . Nach einem wiederholten Klick auf diesen Button öffnet sich das Browser-Downloadfenster und Sie können die Datei auf ihrem PC abspeichern.

Wiederherstellen eines Backup

Da die Backup-Jobs verschiedene Formate und/oder verschiedene Speicherorte haben, ist die Wiederherstellungsfunktion bei den einzelnen Jobs eingefügt.

Zur Wiederherstellung der Daten aus einem Backup wählen Sie aus dem Drop Down-Menü ein Backup aus.
Die Bezeichnung der Backups setzt sich wie folgt zusammen:
uma-backup-JJJJ-MM-TTTSS-MM-ssZ+ZZV.tar.gz

JJJJ Jahr vierstellig
MM Monat zweistellig
TT Tag zweistellig
Das hierauf folgende T steht für Tag.
SS Stunde zweistellig
MM Minute zweistellig
ss Sekunden zweistellig
Das hierauf folgende Z steht für Zeit.
ZZV Zeitzonenverschiebung vierstellig
Das Vorzeichen (+/-) zeigt an, ob die angezeigten Stunden zur Koordinierten Weltzeit (UTC) addiert werden oder von dieser subtrahiert werden.

Die Schaltfläche aktualisiert die Auflistung der Backups. Mit einem Klick auf wird die Wiederherstellung gestartet.

Wartung

Automatisches Aufräumen des Postfachs

Autom. Postfach Aufräumen

Im Bereich "Wartung" finden Sie ebenfalls die Möglichkeit, einzustellen, wann die E-Mails aus den Inboxen der Benutzerkonten gelöscht werden sollen.

Alle bis dahin nicht in die Langzeitarchive kopierten E-Mails, die sich auf dem UMA befinden, werden ebenfalls gelöscht.

Unter "Status" wird das Datum der letzten und der nächsten Ausführung angezeigt, sowie die Mailboxen die bereinigt wurden.

Langzeitarchiv und nicht archivierte E-Mails

Langzeitarchiv und nicht Archivierte E-Mails

Im Abschnitt "Langzeitarchiv" der "Wartung" wird in einem Status ausgegeben, dass demnächst eine Löschung von E-Mails aus den Langzeitarchiven bevorsteht und wie viele E-Mails davon betroffen sind.
Es werden nur die E-Mails gelöscht, die eine gewisse Vorhaltezeit überschritten haben.

Ist die Langzeitarchivierung überschritten werden die E-Mails noch vorgehalten, bevor sie endgültig gelöscht werden. Die Vorhaltezeit kann, über einen dann eingeblendeten Schieberegler, von 180 bis 365 Tagen gewählt werden.

Im Abschnitt "Aufgrund von Fehlern nicht archivierte E-Mails" können Sie bei E-Mails, die als fehlerhaft markiert sind, die Signaturen und Dateianhänge prüfen lassen und die Archivierung mit einem Klick auf den Button wiederholen.

Firmware Version

Firmware Version

Um zu sehen welche UMA Firmware gerade aktiv ist, schauen Sie unter "Wartung" einfach in den Abschnitt "Firmware Version". Hier wird Ihnen die aktive und gegebenenfalls die vorher installierte Version als "Verfügbare Version" angezeigt.

Um zu überprüfen, ob eine neue Version des UMA vorhanden ist, klicken Sie einfach auf .

Weiterhin ist es möglich, nach einem Firmware-Update wieder auf die vorher auf dieser Maschine installierte Version zu wechseln. Diese Version wird Ihnen als "Verfügbare Version" angezeigt und mit einem Klick auf wieder aktiviert.

Und wenn es mal klemmt ...

Werkzeuge

Natürlich bietet das UMA im Bereich "Werkzeuge" auch einen kleinen "Werkzeugkasten", um zu überprüfen ob E-Mails versendet werden, das Netzwerk erreichbar ist oder um die Festplatten zu testen.

Logs

Weiterhin bringt ein Blick in die Log-Dateien häufig den Ansatz, an welcher Stelle zu suchen ist, wenn nicht alles so läuft wie gewünscht.

Weitere Informationen und Hilfe zum UMA und anderen Produkten der Securepoint GmbH finden Sie unter http://wiki.securepoint.de