VIGTIG information til alle kunder som kører backup over Internet via SSL - Kræver kundeaktion inden 17. april 2009!

Transkript

1 VIGTIG information til alle kunder som kører backup over Internet via SSL - Kræver kundeaktion inden 17. april 2009! Det er blevet tid til at opdatere certifikater på alle servere som afvikler backup over Internettet mod dmsave s backupsystemer. Certifikaterne SKAL opgraderes inden 17. april 2009, da backuppen ellers vil holde op med at køre. Af sikkerhedsmæssige hensyn kan certifikaterne ikke opgraderes automatisk, men skal lægges på alle maskiner der har dmsave s "SSL proxy klient program" installeret. De nye certifikater har en udløbsdato der hedder 4. marts Dedikerede linier Nogle kunder anvender dedikerede linier til dmsave's backupsystemer, og disse kunder behøver ikke at opdatere certifikater. Hvis man har SSL-proxy klienten installeret og ønsker at anvende den som sekundær forbindelsesmulighed, anbefales det dog, at certifikaterne opdateres. SSL-proxy kan desuden være installeret med funktion som automatisk genstart af backup service. Denne funktion vil ikke blive påvirket af manglende opdatering, men det anbefales alligevel for disse kunder at opdatere certfikaterne, så SSL-proxy klienten kan bruges som sekundær forbindelse. Nedenfor findes vejledninger til opdatering på de forskellige operativsystemer. Desuden er det beskrevet, hvorledes der kan foretages en manuel opdatering. Princip for manuel opdatering gælder for alle operativsystemer. Specifikt certifikat Certifikatet har 2 formål. Dels at sikre at det kun er dmsave's kunder som kan opnå adgang til de centrale backupsystemer, og dels at foretage 168 bit kryptering af data på den SSL forbindelse som oprettes. Krypteringen foretages på baggrund af en keystore fil. Med de certifikater som kan hentes på denne side, vil alle dmsave kunder foretage kryptering af data baseret på samme keystore fil. Inden i den krypterede datatunnel er data atter krypteret med TSM's bit kryptering. Derfor vurderer dmsave at trafikkryptering med standard certifikat over Internettet giver tilstrækkelig sikkerhed. Hvis nogle kunder på trods af dette skulle ønske kundespecifik kryptering på datatunnelen kan I rekvirere en kundespecifik keystorefil. Dette gøres på support@dmsave.com, med overskriften "Specifikt certifikat ønskes" I vil herefter få fremsendt en ny keystore fil som kan anvendes i stedet for den der følger med den downloadede pakke. Den rekvirerede keystorefil skal blot erstatte den der ligger i den downloadede pakke. Vejledning for Windows Til windows har dmsave lavet et program som automatisk foretager de nødvendige ændringer og kopierer nye certifikater ind på de maskiner, hvor programmet afvikles. Dette program kan downloades via nedenstående link

2 Enkelte servere: 1. Download certifikat opgraderingen til Windows. 2. Pak programpakken "CertificateUpgradeWindows.zip" ud. 3. Herefter eksekveres filen updatecert.exe på de maskiner som skal opdateres, og de nødvendige rettelser foretages automatisk. 4. For nogle servere kan den komme frem og prompte for godkendelse af genstart af service, hertil godkendes med et "Y" 1. I ovenstående tilfælde, er det vigtigt at man til slut tjekker at alle dmsave/exabit services es er kørende. 5. Efter opdatering testes om der er forbindelse til backupsystemet ved at starte Backup-Archive GUI fra programgruppen "Tivoli Storage Manager" Hvis programmet starter uden fejl, er opdateringen gennemført med succes. Hvis der kommer besked om TCP/IP communication failure, er der et problem efter opdateringen. Prøv da at køre opdateringen igen, og hold øje med fejlbeskeder. Hvis der fortsat er fejl, gå til punktet fejlsøgning. Mange servere: Hvis der er tale om opgradering af certifikater på mange servere kan det evt. betale sig at bruge det script som følger med dmsaves CertificateUpgradeWindows.zip. Scriptet Pstool.cmd bruger psexec fra sysinternals til at eksekvere updatecert.exe remote fra den maskine man eksekverer scriptet fra. Bemærk at denne metode er et forslag til, hvordan opgaven kan udføres på en lettere måde, men dmsave yder ikke support hjælp til at få psexec til at virke som ønsket. Specifikt certifikat Hvis du har rekvireret specifikt certifikat fra dmsave, kopieres dette ind i mappen CertificateUpgradeWindows, og erstatter blot det der allerede ligger. Vejledning til Unix/Linux Til opdatering af certifikater på Unix/Linux, leverer dmsave et script som kan foretage de nødvendige rettelser. Pakken indeholder også selve certifikaterne. Dette script kan downloades via nedenstående link 1. Download certifikat opgraderingen til Linux/UNIX - CertificateUpgradeLinux.zip. 2. Pak programpakken "CertificateUpgradeLinux.zip" ud på Linux/Unix serveren. 3. Udvid rettighederne til certificateupgrade.sh med kommandoen: chmod 774 certificateupgrade.sh 4. Eksekvér shell scriptet fra denne folder med kommandoen:./certificateupgrade.sh 5. Afprøv om der er forbindelse til backupsystemet ved at starte backupklienten op, og evt. foretage en manuel backup eller restore. Dette kan gøres via kommandolinieinterfacet dsmc i en terminal session. Dette kan på AIX f.eks. gøres med kommandoen: /usr/tivoli/tsm/client/ba/bin/dsmc incr dsm.opt På øvrige OS med kommandoen: /opt/tivoli/tsm/client/ba/bin/dsmc incr dsm.opt Hvis alt virker er opdateringen gennemført Specifikke certifikater Hvis du har rekvireret specifikke certifikater fra dmsave, lægges disse i en undermappe med navnet certificates. Hvis f.eks. certificateupgrade.sh lægges i /tmp, så lægges de specifikke certifikater i /tmp/certificates. Herefter eksekveres certificateupgrade.sh som beskrevet ovenfor.

3 Vejledning til Netware Til opdatering af certifikater på Netware hentes selve certifikaterne via dette link 1. Download nye certifikater. 2. Kopiér følgende filer til SYS:\sslprox\client: dmsave.keystore dmsavecacerts 3. Check at der ikke er andre JAVA applikationer end EXABIT.jar, der er kørende 4. Stop SSLproxy med kommandoen UNLOAD JAVA 5. Redigér filen networkmediator.properties, og ret ServerSideDnsName.0=SSLPROXYXX.DMSAVE.COM ServerSideDnsName.1=SSLPROXYXX.DMSAVE.COM til ServerSideDnsName.0=SSLXX.DMSAVE.COM(hvor X er et tal fra 0 til 9) ServerSideDnsName.1=SSLXX.DMSAVE.COM(hvor X er et tal fra 0 til 9) 6. Start SSLproxy med kommandoen nm.ncf, alternativt kan serveren genstartes om muligt. 7. Afprøv om der er forbindelse til backupsystemet ved at starte backupklienten op, og evt. foretage en manuel backup eller restore. Dette kan f.eks. gøres med kommandoen: SYS:\TIVOLI\TSM\CLIENT\DSMC INCR DSM.OPT 8. Opdateringen er gennemført Backup uden om SSL Tivolis backupklient kan i version 5.4 og højere kryptere datatrafikken med en 128bit kryptering. Man kan derfor vælge at droppe SSL og bruge Tivolis backupklient til kryptering. Hvis man ønsker at køre sin backup uden om SSL, kontakt da dmsave s tekniske afdeling for at få åbnet for denne mulighed Vejledning til manuel opdatering, fejlsøgning SSL proxy klienten/servicen har til formål at skabe kontakt over Internettet til det centrale backupsystem, transparent for backupklienten. Dette foregår ved at SSL klienten modtager data og sender det videre krypteret med SSL til dmsave's datacenter, hvor det modtages og pakkes ud, hvorefter det rammer det rigtige backupsystem. Det backupsystem som backuppen skal ligge på afhænger af de DNS adresser der står i konfigurationsfilen NetworkMediator.Properties Filen er typisk placeret i følgende foldere: 1. Windows, under C:\Program Files\exabit eller C:\Program Files\dmsave 2. Netware, under SYS:\sslprox\client 3. Unix, under /opt/exabit/sslproxy I nogle tilfælde kan SSL proxy klienten være placeret andre steder, hvis dette er ønsket under installationen. Ligeledes kan det være tilfældet, at man slet ikke anvender en SSL klient på den pågældende maskine, men at data peges gennem en anden servers SSL klient. Dette kan verificeres ved at lokalisere dsm.opt (windows og Netware)) eller dsm.sys (Linux og windows), som er Tivoli klientens konfigurationsfil, og finde parameteren tcpserveraddress. Hvis denne står til anvendes der lokal SSL proxy klient, hvis den står til noget andet, anvendes en anden servers SSL klient eller der anvendes dedikeret forbindelse.

4 Fejlsøgning 1. Hvis der efter opgraderingen ikke længere er forbindelse til backup systemet, kan dette skyldes at I anvender IP-adresser i stedet for DNS navne til konfiguration af backup over Internettet. I det tilfælde åbnes NetworkMediator.properties, jf. placeringerne ovenfor og adresserne efter parametrene ServerSideDnsName.0= og ServerSideDnsName.1= erstattes med IP-adresser, der er angivet i IP-listen på denne side i skemaet nedenfor. Vær opmærksom på at erstatte IP adresserne med adresser fra samme række. Om muligt, anvend da DNS navnene. 2. Hvis der stadig ikke er forbindelse, prøv da manuelt at kopiere certifikatfilerne ind i SSL-proxiens folder, og sikre at DNS navnene er blevet rettet fra SSLPROXYXX.DMSAVE.COM til SSLXX.DMSAVE.COM i filen NetworkMediator.Properties Derefter genstart Windows-servicen/ssl daemon eller java programmet på serveren. Alternativ genstart serveren om muligt. 3. Muligvis har I lavet regler i jeres firewall for at tillade SSL/https trafik mod de DNS adresser eller IP adresser som anvendes til backup. Ret/tilføj de nye adresser jf. nedenstående skema, så også de nye adresser er tilladte. dmsave anbefaler at der åbnes for følgende IP adresse range: /24 4. Hvis I ikke kan finde en løsning på problemet, så kontakt vores tekniske support, som gerne hjælper jer.

5 Oversigt over skift af IP adresser For at sikre fremtidig adgang til alle dmsave s systemer, anbefales det at der åbnes for al trafik mod: /24 Gamle SSL adresser Nye SSL adresser DNS name IP adresse DNS name IP adresse Backup system prim sslproxy01.dmsave.com ssl01.dmsave.com sec sslproxy02.dmsave.com ssl02.dmsave.com prim sslproxy03.dmsave.com ssl03.dmsave.com sec sslproxy04.dmsave.com ssl04.dmsave.com prim sslproxy05.dmsave.com ssl05.dmsave.com sec sslproxy06.dmsave.com ssl06.dmsave.com prim sslproxy07.dmsave.com ssl07.dmsave.com sec sslproxy08.dmsave.com ssl08.dmsave.com prim sslproxy09.dmsave.com ssl09.dmsave.com sec sslproxy10.dmsave.com ssl10.dmsave.com prim sslproxy11.dmsave.com ssl11.dmsave.com sec sslproxy12.dmsave.com ssl12.dmsave.com prim sslproxy13.dmsave.com ssl13.dmsave.com sec sslproxy14.dmsave.com ssl14.dmsave.com prim sslproxy15.dmsave.com ssl15.dmsave.com sec sslproxy16.dmsave.com ssl16.dmsave.com prim sslproxy17.dmsave.com ssl17.dmsave.com sec sslproxy18.dmsave.com ssl18.dmsave.com prim sslproxy19.dmsave.com ssl19.dmsave.com sec sslproxy20.dmsave.com ssl20.dmsave.com prim sslproxy21.dmsave.com ssl21.dmsave.com sec sslproxy22.dmsave.com ssl22.dmsave.com prim sslproxy23.dmsave.com ssl23.dmsave.com sec sslproxy24.dmsave.com ssl24.dmsave.com prim sslproxy25.dmsave.com ssl25.dmsave.com sec sslproxy26.dmsave.com ssl26.dmsave.com prim sslproxy27.dmsave.com ssl27.dmsave.com sec sslproxy28.dmsave.com ssl28.dmsave.com prim sslproxy29.dmsave.com ssl29.dmsave.com sec sslproxy30.dmsave.com ssl30.dmsave.com

6 prim sslproxy31.dmsave.com ssl31.dmsave.com sec sslproxy32.dmsave.com ssl32.dmsave.com prim sslproxy33.dmsave.com ssl33.dmsave.com sec sslproxy34.dmsave.com ssl34.dmsave.com prim sslproxy35.dmsave.com ssl35.dmsave.com sec sslproxy36.dmsave.com ssl36.dmsave.com prim sslproxy37.dmsave.com ssl37.dmsave.com sec sslproxy38.dmsave.com ssl38.dmsave.com prim sslproxy39.dmsave.com ssl39.dmsave.com sec sslproxy40.dmsave.com ssl40.dmsave.com ssl41.dmsave.com ssl42.dmsave.com ssl43.dmsave.com ssl44.dmsave.com ssl45.dmsave.com ssl46.dmsave.com ssl47.dmsave.com ssl48.dmsave.com