VIGTIG information til alle kunder som kører backup over Internet via SSL - Kræver kundeaktion inden 17. april 2009! Det er blevet tid til at opdatere certifikater på alle servere som afvikler backup over Internettet mod dmsave s backupsystemer. Certifikaterne SKAL opgraderes inden 17. april 2009, da backuppen ellers vil holde op med at køre. Af sikkerhedsmæssige hensyn kan certifikaterne ikke opgraderes automatisk, men skal lægges på alle maskiner der har dmsave s "SSL proxy klient program" installeret. De nye certifikater har en udløbsdato der hedder 4. marts 2013. Dedikerede linier Nogle kunder anvender dedikerede linier til dmsave's backupsystemer, og disse kunder behøver ikke at opdatere certifikater. Hvis man har SSL-proxy klienten installeret og ønsker at anvende den som sekundær forbindelsesmulighed, anbefales det dog, at certifikaterne opdateres. SSL-proxy kan desuden være installeret med funktion som automatisk genstart af backup service. Denne funktion vil ikke blive påvirket af manglende opdatering, men det anbefales alligevel for disse kunder at opdatere certfikaterne, så SSL-proxy klienten kan bruges som sekundær forbindelse. Nedenfor findes vejledninger til opdatering på de forskellige operativsystemer. Desuden er det beskrevet, hvorledes der kan foretages en manuel opdatering. Princip for manuel opdatering gælder for alle operativsystemer. Specifikt certifikat Certifikatet har 2 formål. Dels at sikre at det kun er dmsave's kunder som kan opnå adgang til de centrale backupsystemer, og dels at foretage 168 bit kryptering af data på den SSL forbindelse som oprettes. Krypteringen foretages på baggrund af en keystore fil. Med de certifikater som kan hentes på denne side, vil alle dmsave kunder foretage kryptering af data baseret på samme keystore fil. Inden i den krypterede datatunnel er data atter krypteret med TSM's 56-128 bit kryptering. Derfor vurderer dmsave at trafikkryptering med standard certifikat over Internettet giver tilstrækkelig sikkerhed. Hvis nogle kunder på trods af dette skulle ønske kundespecifik kryptering på datatunnelen kan I rekvirere en kundespecifik keystorefil. Dette gøres på support@dmsave.com, med overskriften "Specifikt certifikat ønskes" I vil herefter få fremsendt en ny keystore fil som kan anvendes i stedet for den der følger med den downloadede pakke. Den rekvirerede keystorefil skal blot erstatte den der ligger i den downloadede pakke. Vejledning for Windows Til windows har dmsave lavet et program som automatisk foretager de nødvendige ændringer og kopierer nye certifikater ind på de maskiner, hvor programmet afvikles. Dette program kan downloades via nedenstående link http://www.dmsave.com/download/teknik/upgradecert/certificateupgradewindows.zip
Enkelte servere: 1. Download certifikat opgraderingen til Windows. 2. Pak programpakken "CertificateUpgradeWindows.zip" ud. 3. Herefter eksekveres filen updatecert.exe på de maskiner som skal opdateres, og de nødvendige rettelser foretages automatisk. 4. For nogle servere kan den komme frem og prompte for godkendelse af genstart af service, hertil godkendes med et "Y" 1. I ovenstående tilfælde, er det vigtigt at man til slut tjekker at alle dmsave/exabit services es er kørende. 5. Efter opdatering testes om der er forbindelse til backupsystemet ved at starte Backup-Archive GUI fra programgruppen "Tivoli Storage Manager" Hvis programmet starter uden fejl, er opdateringen gennemført med succes. Hvis der kommer besked om TCP/IP communication failure, er der et problem efter opdateringen. Prøv da at køre opdateringen igen, og hold øje med fejlbeskeder. Hvis der fortsat er fejl, gå til punktet fejlsøgning. Mange servere: Hvis der er tale om opgradering af certifikater på mange servere kan det evt. betale sig at bruge det script som følger med dmsaves CertificateUpgradeWindows.zip. Scriptet Pstool.cmd bruger psexec fra sysinternals til at eksekvere updatecert.exe remote fra den maskine man eksekverer scriptet fra. Bemærk at denne metode er et forslag til, hvordan opgaven kan udføres på en lettere måde, men dmsave yder ikke support hjælp til at få psexec til at virke som ønsket. Specifikt certifikat Hvis du har rekvireret specifikt certifikat fra dmsave, kopieres dette ind i mappen CertificateUpgradeWindows, og erstatter blot det der allerede ligger. Vejledning til Unix/Linux Til opdatering af certifikater på Unix/Linux, leverer dmsave et script som kan foretage de nødvendige rettelser. Pakken indeholder også selve certifikaterne. Dette script kan downloades via nedenstående link http://www.dmsave.com/download/teknik/upgradecert/certificateupgradelinux.zip 1. Download certifikat opgraderingen til Linux/UNIX - CertificateUpgradeLinux.zip. 2. Pak programpakken "CertificateUpgradeLinux.zip" ud på Linux/Unix serveren. 3. Udvid rettighederne til certificateupgrade.sh med kommandoen: chmod 774 certificateupgrade.sh 4. Eksekvér shell scriptet fra denne folder med kommandoen:./certificateupgrade.sh 5. Afprøv om der er forbindelse til backupsystemet ved at starte backupklienten op, og evt. foretage en manuel backup eller restore. Dette kan gøres via kommandolinieinterfacet dsmc i en terminal session. Dette kan på AIX f.eks. gøres med kommandoen: /usr/tivoli/tsm/client/ba/bin/dsmc incr dsm.opt På øvrige OS med kommandoen: /opt/tivoli/tsm/client/ba/bin/dsmc incr dsm.opt Hvis alt virker er opdateringen gennemført Specifikke certifikater Hvis du har rekvireret specifikke certifikater fra dmsave, lægges disse i en undermappe med navnet certificates. Hvis f.eks. certificateupgrade.sh lægges i /tmp, så lægges de specifikke certifikater i /tmp/certificates. Herefter eksekveres certificateupgrade.sh som beskrevet ovenfor.
Vejledning til Netware Til opdatering af certifikater på Netware hentes selve certifikaterne via dette link http://www.dmsave.com/download/teknik/upgradecert/certificateupgrade.zip 1. Download nye certifikater. 2. Kopiér følgende filer til SYS:\sslprox\client: dmsave.keystore dmsavecacerts 3. Check at der ikke er andre JAVA applikationer end EXABIT.jar, der er kørende 4. Stop SSLproxy med kommandoen UNLOAD JAVA 5. Redigér filen networkmediator.properties, og ret ServerSideDnsName.0=SSLPROXYXX.DMSAVE.COM ServerSideDnsName.1=SSLPROXYXX.DMSAVE.COM til ServerSideDnsName.0=SSLXX.DMSAVE.COM(hvor X er et tal fra 0 til 9) ServerSideDnsName.1=SSLXX.DMSAVE.COM(hvor X er et tal fra 0 til 9) 6. Start SSLproxy med kommandoen nm.ncf, alternativt kan serveren genstartes om muligt. 7. Afprøv om der er forbindelse til backupsystemet ved at starte backupklienten op, og evt. foretage en manuel backup eller restore. Dette kan f.eks. gøres med kommandoen: SYS:\TIVOLI\TSM\CLIENT\DSMC INCR DSM.OPT 8. Opdateringen er gennemført Backup uden om SSL Tivolis backupklient kan i version 5.4 og højere kryptere datatrafikken med en 128bit kryptering. Man kan derfor vælge at droppe SSL og bruge Tivolis backupklient til kryptering. Hvis man ønsker at køre sin backup uden om SSL, kontakt da dmsave s tekniske afdeling for at få åbnet for denne mulighed Vejledning til manuel opdatering, fejlsøgning SSL proxy klienten/servicen har til formål at skabe kontakt over Internettet til det centrale backupsystem, transparent for backupklienten. Dette foregår ved at SSL klienten modtager data og sender det videre krypteret med SSL til dmsave's datacenter, hvor det modtages og pakkes ud, hvorefter det rammer det rigtige backupsystem. Det backupsystem som backuppen skal ligge på afhænger af de DNS adresser der står i konfigurationsfilen NetworkMediator.Properties Filen er typisk placeret i følgende foldere: 1. Windows, under C:\Program Files\exabit eller C:\Program Files\dmsave 2. Netware, under SYS:\sslprox\client 3. Unix, under /opt/exabit/sslproxy I nogle tilfælde kan SSL proxy klienten være placeret andre steder, hvis dette er ønsket under installationen. Ligeledes kan det være tilfældet, at man slet ikke anvender en SSL klient på den pågældende maskine, men at data peges gennem en anden servers SSL klient. Dette kan verificeres ved at lokalisere dsm.opt (windows og Netware)) eller dsm.sys (Linux og windows), som er Tivoli klientens konfigurationsfil, og finde parameteren tcpserveraddress. Hvis denne står til 127.0.0.1 anvendes der lokal SSL proxy klient, hvis den står til noget andet, anvendes en anden servers SSL klient eller der anvendes dedikeret forbindelse.
Fejlsøgning 1. Hvis der efter opgraderingen ikke længere er forbindelse til backup systemet, kan dette skyldes at I anvender IP-adresser i stedet for DNS navne til konfiguration af backup over Internettet. I det tilfælde åbnes NetworkMediator.properties, jf. placeringerne ovenfor og adresserne efter parametrene ServerSideDnsName.0= og ServerSideDnsName.1= erstattes med IP-adresser, der er angivet i IP-listen på denne side i skemaet nedenfor. Vær opmærksom på at erstatte IP adresserne med adresser fra samme række. Om muligt, anvend da DNS navnene. 2. Hvis der stadig ikke er forbindelse, prøv da manuelt at kopiere certifikatfilerne ind i SSL-proxiens folder, og sikre at DNS navnene er blevet rettet fra SSLPROXYXX.DMSAVE.COM til SSLXX.DMSAVE.COM i filen NetworkMediator.Properties Derefter genstart Windows-servicen/ssl daemon eller java programmet på serveren. Alternativ genstart serveren om muligt. 3. Muligvis har I lavet regler i jeres firewall for at tillade SSL/https trafik mod de DNS adresser eller IP adresser som anvendes til backup. Ret/tilføj de nye adresser jf. nedenstående skema, så også de nye adresser er tilladte. dmsave anbefaler at der åbnes for følgende IP adresse range: 91.195.58.0 /24 4. Hvis I ikke kan finde en løsning på problemet, så kontakt vores tekniske support, som gerne hjælper jer.
Oversigt over skift af IP adresser For at sikre fremtidig adgang til alle dmsave s systemer, anbefales det at der åbnes for al trafik mod: 91.195.58.0 /24 Gamle SSL adresser Nye SSL adresser DNS name IP adresse DNS name IP adresse Backup system prim sslproxy01.dmsave.com 91.195.58.31 ssl01.dmsave.com 91.195.58.132 1 sec sslproxy02.dmsave.com 91.195.58.32 ssl02.dmsave.com 91.195.58.132 1 prim sslproxy03.dmsave.com 91.195.58.33 ssl03.dmsave.com 91.195.58.133 2 sec sslproxy04.dmsave.com 91.195.58.34 ssl04.dmsave.com 91.195.58.133 2 prim sslproxy05.dmsave.com 91.195.58.35 ssl05.dmsave.com 91.195.58.134 3 sec sslproxy06.dmsave.com 91.195.58.36 ssl06.dmsave.com 91.195.58.134 3 prim sslproxy07.dmsave.com 91.195.58.37 ssl07.dmsave.com 91.195.58.135 4 sec sslproxy08.dmsave.com 91.195.58.38 ssl08.dmsave.com 91.195.58.135 4 prim sslproxy09.dmsave.com 91.195.58.39 ssl09.dmsave.com 91.195.58.136 5 sec sslproxy10.dmsave.com 91.195.58.40 ssl10.dmsave.com 91.195.58.136 5 prim sslproxy11.dmsave.com 91.195.58.41 ssl11.dmsave.com 91.195.58.137 6 sec sslproxy12.dmsave.com 91.195.58.42 ssl12.dmsave.com 91.195.58.137 6 prim sslproxy13.dmsave.com 91.195.58.43 ssl13.dmsave.com 91.195.58.138 7 sec sslproxy14.dmsave.com 91.195.58.44 ssl14.dmsave.com 91.195.58.138 7 prim sslproxy15.dmsave.com 91.195.58.45 ssl15.dmsave.com 91.195.58.139 8 sec sslproxy16.dmsave.com 91.195.58.46 ssl16.dmsave.com 91.195.58.139 8 prim sslproxy17.dmsave.com 91.195.58.47 ssl17.dmsave.com 91.195.58.140 9 sec sslproxy18.dmsave.com 91.195.58.48 ssl18.dmsave.com 91.195.58.140 9 prim sslproxy19.dmsave.com 91.195.58.49 ssl19.dmsave.com 91.195.58.141 10 sec sslproxy20.dmsave.com 91.195.58.50 ssl20.dmsave.com 91.195.58.141 10 prim sslproxy21.dmsave.com 91.195.58.51 ssl21.dmsave.com 91.195.58.142 11 sec sslproxy22.dmsave.com 91.195.58.52 ssl22.dmsave.com 91.195.58.142 11 prim sslproxy23.dmsave.com 91.195.58.53 ssl23.dmsave.com 91.195.58.143 12 sec sslproxy24.dmsave.com 91.195.58.54 ssl24.dmsave.com 91.195.58.143 12 prim sslproxy25.dmsave.com 91.195.58.55 ssl25.dmsave.com 91.195.58.144 13 sec sslproxy26.dmsave.com 91.195.58.56 ssl26.dmsave.com 91.195.58.144 13 prim sslproxy27.dmsave.com 91.195.58.57 ssl27.dmsave.com 91.195.58.145 14 sec sslproxy28.dmsave.com 91.195.58.58 ssl28.dmsave.com 91.195.58.145 14 prim sslproxy29.dmsave.com 91.195.58.59 ssl29.dmsave.com 91.195.58.146 15 sec sslproxy30.dmsave.com 91.195.58.60 ssl30.dmsave.com 91.195.58.146 15
prim sslproxy31.dmsave.com 91.195.58.121 ssl31.dmsave.com 91.195.58.147 16 sec sslproxy32.dmsave.com 91.195.58.122 ssl32.dmsave.com 91.195.58.147 16 prim sslproxy33.dmsave.com 91.195.58.123 ssl33.dmsave.com 91.195.58.148 17 sec sslproxy34.dmsave.com 91.195.58.124 ssl34.dmsave.com 91.195.58.148 17 prim sslproxy35.dmsave.com 91.195.58.125 ssl35.dmsave.com 91.195.58.149 18 sec sslproxy36.dmsave.com 91.195.58.126 ssl36.dmsave.com 91.195.58.149 18 prim sslproxy37.dmsave.com 91.195.58.87 ssl37.dmsave.com 91.195.58.150 19 sec sslproxy38.dmsave.com 91.195.58.88 ssl38.dmsave.com 91.195.58.150 19 prim sslproxy39.dmsave.com 91.195.58.89 ssl39.dmsave.com 91.195.58.151 20 sec sslproxy40.dmsave.com 91.195.58.90 ssl40.dmsave.com 91.195.58.151 20 ssl41.dmsave.com 91.195.58.152 21 ssl42.dmsave.com 91.195.58.152 21 ssl43.dmsave.com 91.195.58.153 22 ssl44.dmsave.com 91.195.58.153 22 ssl45.dmsave.com 91.195.58.154 23 ssl46.dmsave.com 91.195.58.154 23 ssl47.dmsave.com 91.195.58.155 24 ssl48.dmsave.com 91.195.58.155 24