2.3 Zugriffs- und Kommunikationsanforderungen in Ihrem Schutz-Netzwerk

Dieser Abschnitt enthält folgende Informationen:

2.3.1 Zugriffs- und Kommunikationsanforderungen für Workloads

Im folgenden Abschnitt werden die Software-, Netzwerk- und Firewall-Anforderungen für Workloads beschrieben, die mithilfe von PlateSpin Protect geschützt werden sollen.

Tabelle 2-2 Zugriffs- und Kommunikationsanforderungen für Workloads

Workload-Typ

Voraussetzungen

Erforderliche Ports (Standards)

Alle Workloads

Ping-Unterstützung (ICMP-Echoanfrage und -antwort)

 

Alle Windows-Workloads

Microsoft .NET Framework Version 2.0 oder 3.5 SP1

 

Windows 7;

Windows Server 2008;

Windows Vista

  • Integrierter Administrator- oder Domänen-Administrator-Kontoberechtigungsnachweis (die Mitgliedschaft in der lokalen Administratorgruppe reicht nicht aus). Unter Vista muss das Konto aktiviert sein (es ist standardmäßig deaktiviert).

  • Die Windows-Firewall, die so konfiguriert ist, dass sie die Datei- und Druckerfreigabe zulässt. Verwenden Sie eine der folgenden Optionen:

    • Option 1 mit der Windows-Firewall: Verwenden Sie das grundlegende Systemsteuerungselement Windows-Firewall (firewell.cpl) und wählen Sie in der Liste der Ausnahmen die Option Datei- und Druckerfreigabe aus.

      - ODER -

    • Option 2 mit der Firewall mit erweiterter Sicherheit: Verwenden Sie das Dienstprogramm Windows-Firewall mit erweiterter Sicherheit (wf.msc), bei dem die folgenden Eingangsregeln aktiviert und auf Zulassen festgelegt sind:

      • Datei- und Druckerfreigabe (Echoanforderung – ICMPv4In)

      • Datei- und Druckerfreigabe (Echoanforderung – ICMPv6In)

      • Datei- und Druckerfreigabe (NB-Datagramm eingehend)

      • Datei- und Druckerfreigabe (NB-Name eingehend)

      • Datei- und Druckerfreigabe (NB-Sitzung eingehend)

      • Datei- und Druckerfreigabe (SMB eingehend)

      • Datei- und Druckerfreigabe (Spoolerdienst – RPC)

      • Datei- und Druckerfreigabe (Spoolerdienst – RPC-EPMAP)

TCP 3725

NetBIOS 137 – 139

SMB (TCP 139, 445 und UDP 137, 138)

TCP 135/445

Windows Server 2003 (mit SP1 Standard, SP2 Enterprise und R2 SP2 Enterprise)

HINWEIS:Nach dem Aktivieren der erforderlichen Anschlüsse aktivieren Sie die PlateSpin-Remote-Verwaltung mit dem folgenden Befehl an der Server-Eingabeaufforderung:

netsh firewall set service RemoteAdmin enable

Weitere Informationen zum Befehl netsh finden Sie im Microsoft TechNet-Artikel http://technet.microsoft.com/en-us/library/cc785383%28v=ws.10%29.aspx..

  • TCP: 3725, 135, 139, 445

  • UDP: 137, 138, 139

Windows Server 2000;

Windows XP

  • Installierte Windows Management Instrumentation (WMI)

WMI (RPC/DCOM) kann die TCP-Ports 135 und 445 sowie zufällig oder dynamisch zugewiesene Ports oberhalb von 1024 verwenden. Wenn beim Hinzufügen des Workloads Probleme auftreten, erwägen Sie, den Workload vorübergehend in ein DMZ zu stellen oder die durch die Firewall geschützten Ports vorübergehend zu öffnen, während Sie den Workload zu PlateSpin Protect hinzufügen.

Weitere Informationen, z. B. eine Anleitung für das Beschränken des Portbereichs für DCOM und RPC, finden Sie in den folgenden technischen Artikeln von Microsoft.

TCP 3725

NetBIOS 137 – 139

SMB (TCP 139, 445 und UDP 137, 138)

RPC (TCP 135)

Alle Linux-Workloads

Secure Shell (SSH)-Server

TCP 22, 3725

2.3.2 Zugriffs- und Kommunikationsanforderungen für Container

Die folgenden Software-, Netzwerk- und Firewall-Anforderungen gelten für die unterstützten Workload-Container.

Tabelle 2-3 Zugriffs- und Kommunikationsanforderungen für Container

System

Voraussetzungen

Erforderliche Ports (Standards)

Alle Container

Ping-Funktion (ICMP-Echoanfrage und -antwort).

 

VMware ESX/ESXi 4.1

VMware ESXi 5.0

  • VMware-Konto mit Administratorrolle

  • VMware Web-Services-API und Dateiverwaltungs-API

HTTPS (TCP 443)

vCenter Server

Dem zugreifenden Benutzer müssen die erforderlichen Rollen und Berechtigungen zugewiesen sein. Weitere Informationen hierzu finden Sie in der entsprechenden VMware-Dokumentation.

HTTPS (TCP 443)

2.3.3 Anforderungen für geöffnete Ports für PlateSpin-Server-Hosts

Die folgenden Anforderungen gelten für geöffnete Ports für PlateSpin-Server-Hosts.

Tabelle 2-4 Anforderungen für geöffnete Ports für PlateSpin-Server-Hosts

Port (Standard)

Anmerkungen

TCP 80

Für HTTP-Kommunikation

TCP 443

Für die HTTPS-Kommunikation (wenn SSL aktiviert ist)

2.3.4 Schutz über öffentliche und private Netzwerke durch NAT

In einigen Fällen kann sich ein Ursprung, ein Ziel oder PlateSpin Protect selbst in einem internen (privaten) Netzwerk hinter einem NAT-Gerät (Network Address Translator) befinden, wodurch eine Kommunikation mit dem Gegenstück während des Schutzes nicht möglich ist.

PlateSpin Protect ermöglicht Ihnen, dieses Problem zu umgehen, je nachdem, welcher der folgenden Hosts sich hinter dem NAT-Gerät befindet:

  • PlateSpin-Server: Fügen Sie die diesem Host zugewiesenen zusätzlichen IP-Adressen zum PlateSpin Server Configuration-Werkzeug Ihres Servers hinzu. Weitere Informationen hierzu finden Sie unter Konfigurieren der Anwendung zum Funktionieren über NAT.

  • Ziel-Container: Wenn Sie versuchen, einen Container zu ermitteln, z. B. VMware ESX, geben Sie die öffentlichen (oder externen) IP-Adressen dieses Hosts in den Parametern für die Ermittlung an.

  • Workload: Geben Sie bei dem Versuch, einen Workload hinzuzufügen, die öffentliche (interne) IP-Adresse dieses Workloads in den Ermittlungsparametern an.

  • Failover-VM: Bei einem Failback können Sie eine alternative IP-Adresse für den Failover-Workload in Failback-Details (Workload an VM) angeben.

  • Failback-Ziel: Wenn Sie bei dem Versuch ein Failback-Ziel zu registrieren dazu aufgefordert werden, die IP-Adresse des PlateSpin-Servers anzugeben, müssen Sie entweder die lokale Adresse des Protect-Server-Hosts angeben oder eine seiner öffentlichen (externen) Adressen, die im PlateSpin Server Configuration-Werkzeug des Servers aufgezeichnet wurden (weitere Informationen hierzu finden Sie oben unter „PlateSpin-Server“).

Konfigurieren der Anwendung zum Funktionieren über NAT

Damit der PlateSpin Forge-Server über alle NAT-aktivierten Umgebungen funktioniert, müssen Sie zusätzliche IP-Adressen Ihres PlateSpin Forge-Servers in der Datenbank im PlateSpin Server Configuration-Werkzeug aufzeichnen, die der Server beim Starten liest.

Weitere Informationen zum Aktualisierungsvorgang finden Sie unter Konfigurieren des Verhaltens des PlateSpin-Servers mithilfe von XML-Konfigurationsparametern.

2.3.5 Außerkraftsetzen der Standard-Bash-Shell zum Ausführen von Befehlen auf Linux-Workloads

Standardmäßig verwendet der PlateSpin-Server bei der Ausführung von Befehlen auf einem Linux-basierten Workload die /bin/bash-Shell.

Falls erforderlich, können Sie die Standard-Shell außer Kraft setzen, indem Sie den entsprechenden Registry-Schlüssel auf dem PlateSpin-Server ändern.

Weitere Informationen hierzu finden Sie im KB-Artikel 7010676.

2.3.6 Anforderungen für VMware DRS-Cluster als Container

Um ein gültiges Schutzziel sein zu können, muss Ihr VMware DRS-Cluster dem Satz der (inventarisierten) Container als VMware-Cluster hinzugefügt werden. Sie sollten nicht versuchen, einen DRS-Cluster als einen Satz von individuellen ESX-Servern hinzuzufügen. Weitere Informationen hierzu finden Sie unter Hinzufügen von Containern (Schutzziele).

Außerdem muss Ihr VMware-Cluster die folgenden Konfigurationsanforderungen erfüllen:

  • DRS ist aktiviert und auf Teilweise automatisiert oder auf Vollautomatisch gesetzt sein.

  • Mindestens eine Datenablage muss für alle ESX-Server im VMware-Cluster freigegeben sein.

  • Mindestens ein vSwitch und eine virtuelle Portgruppe bzw. ein dezentraler vNetwork-Schalter ist für alle ESX-Server im VMware-Cluster gleich.

  • Die Failover-Workloads (VMs) für jeden Schutzvertrag werden ausschließlich in Datenablagen, vSwitches und virtuellen Portgruppen platziert, die über alle ESX-Server im VMware-Cluster gemeinsam genutzt werden.