test

Solaris 10 Installationshandbuch: Netzwerkbasierte Installation

Kapitel 12 Vorbereitung der Installation mit WAN-Boot (Planung)

In diesem Kapitel erfahren Sie, wie Sie Ihr Netzwerk für eine WAN-Boot-Installation vorbereiten. Er umfasst die folgenden Themen:

WAN-Boot - Voraussetzungen und Richtlinien

Dieser Abschnitt enthält die Systemvoraussetzungen für eine WAN-Boot-Installation.

Tabelle 12–1 Systemvoraussetzungen für WAN-Boot-Installationen

System und Beschreibung 

Anforderungen 

WAN-Boot-Server – Der WAN-Boot-Server ist ein Webserver, der das wanboot-Programm, die Konfigurations- und Sicherheitsdateien und die WAN-Boot-Miniroot bereitstellt.

 

  • Betriebssystem – Solaris 9 12/03 BS, oder kompatible Version

  • Muss als Webserver konfiguriert sein

  • Webserver-Software muss HTTP 1.1 unterstützen

  • Wenn Sie mit digitalen Zertifikaten arbeiten möchten, muss die Webserver-Software HTTPS unterstützen

Installationsserver – Der Installationsserver stellt das Solaris Flash-Archiv und die JumpStart-Dateien bereit, die für die Installation des Clients benötigt werden.

  • Verfügbarer Speicherplatz – Speicherplatz für jedes Solaris Flash-Archiv

  • Laufwerk – CD-ROM- oder DVD-ROM-Laufwerk

  • Betriebssystem – Solaris 9 12/03 BS, oder kompatible Version

Sind Installationsserver und WAN-Boot-Server zwei unterschiedliche Systeme, muss der Installationsserver diese zusätzlichen Voraussetzungen erfüllen:  

  • Muss als Webserver konfiguriert sein

  • Webserver-Software muss HTTP 1.1 unterstützen

  • Wenn Sie mit digitalen Zertifikaten arbeiten möchten, muss die Webserver-Software HTTPS unterstützen

Client-System – Das entfernte System, das über ein WAN installiert werden soll

 

  • Arbeitsspeicher - Mindestens 512 MB RAM

  • CPU – Mindestens UltraSPARC II-Prozessor

  • Festplatte – Mindestens 2 GB Speicherplatz auf der Festplatte

  • OBP – WAN-Boot-fähiger PROM

    Verfügt der Client nicht über einen geeigneten PROM, so muss er mit einem CD-ROM-Laufwerk ausgestattet sein.

    Wie Sie herausfinden können, ob der Client über ein PROM mit WAN-Boot-Unterstützung verfügt, erfahren Sie in So überprüfen Sie das Client-OBP auf WAN-Boot-Unterstützung .

(Optional) DHCP-Server – Für die Bereitstellung der Client-Konfigurationsinformationen können Sie einen DHCP-Server einsetzen.

Wenn Sie mit einem SunOS-DHCP-Server arbeiten, müssen Sie folgende Schritte durchführen: 

Befindet sich der DHCP-Server in einem anderen Teilnetz als der Client, müssen Sie einen BOOTP-Relay-Agenten konfigurieren. Näheres über die Konfiguration eines BOOTP-Relay-Agenten finden Sie unter Kapitel 13, Configuring the DHCP Service (Tasks), in System Administration Guide: IP Services.

(Optional) Protokollserver – Alle Boot- und Installationsprotokollmeldungen werden bei einer WAN-Installation standardmäßig auf der Client-Konsole angezeigt. Um diese Meldungen auf einem anderen System anzeigen zu lassen, geben Sie ein System an, das als Protokollserver dienen soll.

Muss als Webserver konfiguriert sein. 

Hinweis –

Wenn Sie bei der Installation mit HTTPS arbeiten, müssen Protokollserver und WAN-Boot-Server identisch sein.

(Optional) Proxy-Server – Sie können das Leistungsmerkmal WAN-Boot so konfigurieren, dass das Herunterladen der Installationsdaten und -dateien über einen HTTP-Proxy erfolgt.

Wenn die Installation per HTTPS vorgenommen wird, muss der Proxy-Server zum Tunneln von HTTPS konfiguriert sein. 

Webserver-Software - Voraussetzungen und Richtlinien

Die Webserver-Software auf dem WAN-Boot- und dem Installationsserver muss die folgenden Voraussetzungen erfüllen:

Serverkonfigurationsoptionen

Sie können die Konfiguration der von WAN-Boot benötigten Server an die Anforderungen in Ihrem Netzwerk anpassen. Die erforderlichen Server können entweder auf einem System oder auf verschiedenen Systemen eingerichtet werden.

Speichern von Installations- und Konfigurationsdateien im Dokument-Root-Verzeichnis

Das Programm wanboot-cgi überträgt bei der WAN-Boot-Installation die folgenden Dateien:

Damit das Programm wanboot-cgi diese Dateien übertragen kann, müssen Sie sie in einem für die Webserver-Software zugänglichen Verzeichnis speichern. Eine Möglichkeit, die Dateien zugänglich zu machen, besteht darin, sie im Dokument-Root-Verzeichnis auf dem Webserver abzulegen.

Das Dokument-Root- oder primäre Dokumentverzeichnis ist das Verzeichnis auf Ihrem Webserver, in dem Sie Dateien speichern, die für Clients zugänglich sein sollen. Dieses Verzeichnis können Sie mit der Webserver-Software benennen und konfigurieren. Genauere Informationen über die Einrichtung des Dokument-Root-Verzeichnisses auf dem Webserver entnehmen Sie bitte der Dokumentation Ihres Webservers.

Es bietet sich an, für die verschiedenen Installations- und Konfigurationsdateien eigene Unterverzeichnisse unter dem Dokument-Root-Verzeichnis anzulegen. So könnten Sie beispielsweise ein spezifisches Unterverzeichnis für jede zu installierende Client-Gruppe erzeugen. Wenn Sie beabsichtigen, im Netzwerk unterschiedliche Versionen von Solaris zu installieren, können Sie auch ein Unterverzeichnis pro Version erzeugen.

In Abbildung 12–1 ist eine grundlegende Beispielstruktur für ein Dokument-Root-Verzeichnis dargestellt. In diesem Beispiel befinden sich WAN-Boot-Server und Installationsserver auf demselben System. Auf dem Server wird die Webserver-Software Apache ausgeführt.

Abbildung 12–1 Beispielstruktur eines Dokument-Root-Verzeichnisses

Die Grafik ist selbsterklärend.

Das Dokument-Verzeichnis in diesem Beispiel weist die folgende Struktur auf:

Hinweis –

Sind WAN-Boot-Server und Installationsserver unterschiedliche Systeme, sollten Sie das Verzeichnis flash auf dem Installationsserver erzeugen. Vergewissern Sie sich, dass diese Dateien und Verzeichnisse für den WAN-Boot-Server zugänglich sind.

Wie Sie das Dokument-Root-Verzeichnis erzeugen, entnehmen Sie bitte der Dokumentation Ihres Webservers. Ausführliche Anweisungen zum Erzeugen und Speichern dieser Installationsdateien finden Sie in Erzeugen der Dateien für die benutzerdefinierte JumpStart-Installation.

Speichern von Konfigurations- und Sicherheitsinformationen in der /etc/netboot-Hierarchie

Das Verzeichnis /etc/netboot enthält die Konfigurationsinformationen, den privaten Schlüssel, das digitale Zertifikat und die Zertifizierungsstelle, die für eine WAN-Boot-Installation erforderlich sind. In diesem Abschnitt sind die Dateien und Verzeichnisse dargestellt, die Sie im Verzeichnis /etc/netboot erzeugen können, um Ihre WAN-Boot-Installation individuell anzupassen.

Anpassung des Aktionsbereichs der WAN-Boot-Installation

Während der Installation sucht das Programm wanboot-cgi im Verzeichnis /etc/netboot auf dem WAN-Boot-Server nach den Client-Informationen. Das Programm wanboot-cgi konvertiert diese Informationen in das WAN-Boot-Dateisystem und überträgt dieses dann an den Client. Mithilfe von Unterverzeichnissen, die Sie in /etc/netboot anlegen können, lässt sich der Aktionsbereich der WAN-Installation anpassen. Mit den folgenden Verzeichnisstrukturen definieren Sie, wie die Konfigurationsinformationen von den zu installierenden Clients gemeinsam verwendet werden sollen.

Angeben von Konfigurations- und Sicherheitsinformationen im Verzeichnis /etc/netboot

Zum Angeben der Konfigurations- und Sicherheitsinformationen erstellen Sie die folgenden Dateien und speichern sie im Verzeichnis /etc/netboot.

Ausführliche Anweisungen zum Erstellen und Speichern dieser Dateien stehen Ihnen in folgenden Abschnitten zur Verfügung:

Freigeben von Konfigurations- und Sicherheitsinformationen im Verzeichnis /etc/netboot

Es besteht die Möglichkeit, dass Sie bei der Installation von Clients in Ihrem Netzwerk dieselben Sicherheits- und Konfigurationsdateien für mehrere Clients oder beispielsweise alle Clients eines Teilnetzes verwenden. Zur Freigabe dieser Dateien können Sie die Konfigurationsinformationen in den Verzeichnissen /etc/netboot/Netz-IP/Client-ID, /etc/netboot/Netz-IP und /etc/netboot bereitstellen. Das Programm wanboot-cgi durchsucht diese Verzeichnisse nach den Konfigurationsinformationen, die am besten auf den jeweiligen Client zutreffen, und verwendet diese Informationen für die Installation.

Das Programm wanboot-cgi sucht in dieser Reihenfolge nach Client-Informationen:

  1. /etc/netboot/Netz-IP/Client-ID – Zuerst sucht das Programm wanboot-cgi nach Client-spezifischen Konfigurationsinformationen. Wenn das Verzeichnis /etc/netboot/Netz-IP/Client-ID alle Client-Konfigurationsinformationen enthält, sucht das Programm wanboot-cgi an keiner weiteren Stelle im Verzeichnis /etc/netboot nach Konfigurationsinformationen.

  2. /etc/netboot/Netz-IP – Wenn nicht alle erforderlichen Informationen im Verzeichnis /etc/netboot/Netz-IP/Client-ID gefunden werden können, sucht das Programm wanboot-cgi anschließend im Verzeichnis /etc/netboot/Netz-IP nach Teilnetz-Konfigurationsinformationen.

  3. /etc/netboot – Wenn die noch ausstehenden Angaben nicht im Verzeichnis /etc/netboot/Netz-IP zu finden sind, sucht das Programm wanboot-cgi dann im Verzeichnis /etc/netboot nach globalen Konfigurationsinformationen.

In Abbildung 12–2 ist dargestellt, wie Sie das Verzeichnis /etc/netboot zum Anpassen von WAN-Boot-Installationen einrichten können.

Abbildung 12–2 Beispiel für das Verzeichnis /etc/netboot

Die Grafik ist selbsterklärend.

Mit der in Abbildung 12–2 dargestellten Struktur für das Verzeichnis /etc/netboot können Sie die folgenden WAN-Boot-Installationen durchführen.

Speichern des Programms wanboot-cgi

Das Programm wanboot-cgi überträgt die Daten und Dateien vom WAN-Boot-Server an den Client. Vergewissern Sie sich, dass sich das Programm in einem für den Client zugänglichen Verzeichnis auf dem WAN-Boot-Server befindet. Eine Möglichkeit, das Programm für den Client zugänglich zu machen, besteht darin, es im Verzeichnis cgi-bin des WAN-Boot-Servers zu speichern. Unter Umständen müssen Sie in der Konfiguration Ihrer Webserver-Software festlegen, dass das Programm wanboot-cgi als CGI-Programm verwendet wird. Informationen über die Voraussetzungen für CGI-Programme entnehmen Sie bitte der Dokumentation Ihres Webservers.

Voraussetzungen für digitale Zertifikate

Möchten Sie die WAN-Boot-Installation sicherer gestalten, können Sie mithilfe von digitalen Zertifikaten eine Server- und eine Client-Authentifizierung in den Vorgang einbinden. Auf der Grundlage von digitalen Zertifikaten kann WAN-Boot bei Online-Transaktionen die Identität des Servers oder des Clients feststellen. Digitale Zertifikate werden von einer Zertifizierungsstelle (CA) ausgestellt. Diese Zertifikate enthalten eine Seriennummer, Ablaufdaten, eine Kopie des öffentlichen Schlüssels des Zertifikatinhabers sowie die digitale Signatur der Zertifizierungsstelle.

Wenn Sie möchten, dass sich der Server oder sowohl der Server als auch der Client bei der Installation ausweisen, müssen Sie auf dem Server digitale Zertifikate installieren. Befolgen Sie beim Einsatz von digitalen Zertifikaten bitte diese Richtlinien:

Ausführliche Anweisungen zur Verwendung von PKCS#12-Zertifikaten bei der WAN-Boot-Installation finden Sie in (Optional) So verwenden Sie digitale Zertifikate für die Server- und Client-Authentifizierung.

Sicherheitslücken bei der Arbeit mit WAN-Boot

Es stehen zwar verschiedene Sicherheitsfunktionen für WAN-Boot zur Verfügung, die folgenden potenziellen Sicherheitsrisiken bleiben jedoch trotzdem bestehen:

Zusammenstellen der Informationen für WAN-Boot-Installationen

Um Ihr Netzwerk für eine WAN-Boot-Installation zu konfigurieren, müssen Sie die verschiedensten Informationen zusammenstellen. Im Rahmen der Vorbereitung einer Installation über das WAN sollten Sie sich diese Angaben notieren.

Zum Aufzeichnen der WAN-Boot-Installationsinformationen für Ihr Netzwerk stehen Ihnen die folgenden Arbeitsblätter zur Verfügung:

Tabelle 12–2 Arbeitsblatt für die Zusammenstellung von Server-Informationen

Benötigte Information 

Anmerkungen 

Angaben zum Installationsserver 

  • Pfad zur WAN-Boot-Miniroot auf dem Installationsserver

  • Pfad zu den JumpStart-Dateien auf dem Installationsserver

 

Angaben zum WAN-Boot-Server 

  • Pfad zum wanboot-Programm auf dem WAN-Boot-Server

  • URL des Programms wanboot-cgi auf dem WAN-Boot-Server

  • Pfad zum Client-Unterverzeichnis in der /etc/netboot-Hierarchie auf dem WAN-Boot-Server

  • (Optional) Dateiname der PKCS#12-Zertifikatdatei

  • (Optional) Host-Namen aller für die WAN-Installation benötigten Systeme außer dem WAN-Boot-Server

  • (Optional) IP-Adresse und TCP-Port-Nummer des Proxy-Servers im Netzwerk

 

Angaben zu nicht obligatorischen Servern 

  • URL des Skripts bootlog-cgi auf dem Protokollserver

  • IP-Adresse und TCP-Port-Nummer des Proxy-Servers im Netzwerk

 

Tabelle 12–3 Arbeitsblatt für die Zusammenstellung von Client-Informationen

Information 

Anmerkungen 

IP-Adresse des Client-Teilnetzes 

 

IP-Adresse des Client-Routers 

 

IP-Adresse des Clients 

 

Client-Teilnetzmaske 

 

Host-Name des Clients 

 

MAC-Adresse des Clients