Infrastructuurstandaard_Groep_Gent - 2015-11-05

Infrastructuurlandschap dat Digipolis ondersteunt ten behoeve van de
Gentse overheidsinstellingen
1.
Infrastructuur
1.1
Servers
Alle servers zijn Intel X86 64 bit gebaseerd.
Op server hardware vlak zijn er binnen Digipolis 3 centrale server types:
Virtuele servers op Vmware ESX v5.1i. met High Availability technologie en Dynamic Resource

Management technologie (DRS en Vmotion). De virtuele machines worden gebackuped met
Vstorage API.
Redundante servers. Deze worden opgezet met:

o
Microsoft Cluster Service(MSCS) clustering op OS niveau
o
Applicatie clustering die verzorgd wordt door de applicatie zelf
o
Load balanced servers
Fysieke “Standalone” servers.

Het centrale data center is opgesplitst over 2 fysieke sites waarbij elke site op zich de volledige
belasting kan dragen zowel op gebied van servers als storage. Data worden over beide datacenters
gerepliceerd.
Er worden op locaties met trage verbindingen nog een beperkt aantal lokale fileservers beheerd. Printen applicatieservices worden op deze locaties geleverd vanuit het data-center.
De standaarden voor server systeemsoftware zijn :

OS:
Windows server 2012 R2 64bit

Webserver:
MS IIS 8.5 (standard)

Database:
(clustered) MS SQL 2012 R2 Enterprise Edition 64bit

E-mail:
MS exchange 2010
Flexmail SaaS voor massamailing

Directe SMTP toegang wordt niet toegestaan vanop clients.
Voor de ondersteuning van zijn Drupal websites gebruikt Digipolis een LAMP stack die bestaat uit:
1.2

OS:
Redhat Enterprise 6.5

Apache:
Apache 2.2.15

Mysql:
5.1.52

Server pages:
PHP 5.3.3
Storage
Page 1
Als centrale storage gebruikt Digipolis een Fujitsu Eternus DX8700 met automatische storage tiering
(voor VMWare). De storage is verder opgedeeld in SSD, SAS en near-line SAS. Deze zijn opgedeeld in
pools naargelang de snelheid van de schijven.
Back-up gebeurt naar een Eternus CS800 B2D VTL.
Voor NAS gebruikt Digipolis een Netapp V3220 clustered ontap als front voor de achterliggende
Fujitsu DX8700 storage.
Centrale servers worden geback-uped door Symantec System Restore en Veritas Netbackup 7.1.0.3.
On-line en B2D-data worden op beide datacenters gemirrored.
Decentrale DAS storage wordt slechts in nood gebruikt. Met Netbackup wordt centraal een
“Inrcremental Forever” backup gemaakt, met de mogelijkheid tot BMR.
1.3
Client
De medewerkers van de stad worden door Digipolis voorzien van een desktop-pc of laptop met
volgende standaardsoftware:

Desktop besturingssysteem: Windows 7

MS Office 2010 Nederlandstalig

Browser: Internet Explorer 11

McAfee VSE 8.8 antivirus en antispyware
Client software moet voldoen aan volgende vereisten :

Alle software die geïnstalleerd moet worden op clients worden aangeleverd in de vorm van een
MSI pakket Distributie gebeurt met Altiris Software Management 7.6

De software moet compatibel zijn met “.net” versie 4.5

De software moet compatibel zijn met Sun Java (huidige versie is 7.51)

De software moet schaalbaar zijn voor schermen met verschillende beeldschermverhoudingen
(minimaal 4:3, 16:9).
Voor een substantieel deel van de medewerkers van het OCMW wordt door Digipolis een laptop of
(enkel) een diskless werkstation met access tot een Xenapp 6.0 server bovenop een MS WIndows 2008
R2 64bit operating system voorzien .
Software op de Xenapp servers wordt gedistribueerd vanuit Microsoft App-V 4.6. Toepassingen
moeten op dit platform kunnen werken.
Gebruikers hebben toegang tot volgende standaardsoftware:

Laptop besturingssysteem: Windows 7 SP1

Diskless workstations besturing-systemen: Neolinux, HP Thinpro linux of Windows Embedded
Standard 7

MS Office 2010 Nederlandstalig
Page 2

Browser: toepassingen zijn bij voorkeur browser onafhankelijk, en ondersteunen IE 9 en de
meest courante browsers (gebaseerd op de W3C gebruiksstatistieken).

1.4
McAfee VSE 8.8 antivirus en antispyware op de laptops en Xenapp servers.
Printing
Algemeen wordt er gebruik gemaakt van HP netwerkprinters, maar voornamelijk Canon
multifunctionals. De multifunctionals worden gestuurd via de Canon Uniflow applicatie.
Voor het OCMW worden deze toestellen aangestuurd vanop een centrale Windows 2008 R2 server en
XenApp 6.0.
Op een beperkt aantal locaties zijn printers lokaal (via USB of LPT1) aangesloten met een lokale
installatie van de printerdriver.
Volgende afdrukvereisten gelden voor toepassingen:

De gebruiker moet de mogelijkheid hebben om af te drukken op een alternatieve printer (via
de Windows interface)

aangeboden printertaal is standaard PCL5 en PCL6, alternatief wordt postscript voorzien

afdrukken is printeronafhankelijk en maakt gebruik van de default (Windows) printerdrivers

definitie van printers en printerdrivers binnen de toepassing wordt niet ondersteund

Printers moeten Xenapp 6.0 gecertificeerd zijn.
Page 3
1.5
Netwerk
Het IP netwerk bestaat uit:

Door private glasvezel verbonden locaties. Met onderliggend een MPLS netwerk van 10Gbps en
1Gbps op de perimeter. De toestellen zijn opgesteld in geografisch gespreide clusters op
geografisch gescheiden datacenters, voor redundantie. Het core netwerk is een volledige redundante
5-node sterstructuur van 10Gbps.

Een backbone-to-backbone verbinding met Telenet voor alle IP-VPN verbindingen met 3x 100MBit
centrale bandbreedte. 100Mbit per type: Stad, OCMW, Externe partijen

Door “IP/VPN” huurlijn via coaxnetwerk 25/2Mbps, 50/5Mbps of 100/10Mbps met eventueel VDSL
backup lijnen met 10/1Mbps.

IP/VPN via VDSL verbindingen tussen: 1/1Mbps up/down, max 10/10 up down met 1Mbps QOS RT
voor VOIP: telefonie.

Lokale wifi verbindingen met een variërende capaciteit tussen 54 en 300 mbps.

Een lange afstand point to point directionele licenced straalverbinding, 100 Mbps nominaal.

Een Internetverbinding bestaande uit een redundant opgestelde 1Gbit Ifiber verbinding.

Een redundante Publilink verbinding voor toegang tot overheidstoepassingen en -bestanden.

Verbinding van buiten perimeter naar webservers (toepasssingen en services) gebeuren verplicht op
poort 80 voor onbeveiligd webverkeer, en op poort 443 voor beveiligde verbindingen (SSL). De SSL
wordt getermineerd op onze perimeter op de webfirewall. Certificaten voor deze verbindingen zijn
genormeerd, en kunnen niet vrij gekozen worden.

Web toepassingen en -services dienen om te kunnen gaan met host-headers.
2.
Identificatie, authenticatie en autorisatie
Voor het uitbouwen van zijn security beleid maakt Digipolis, buiten de klassieke perimeter
beveiligingen, gebruik van MS Active Directory. Toepassingen zijn geïntegreerd met Active Directory:
ze consumeren identiteit en toegangsrechten vanuit de AD, geïmplementeerd op verschillende
redundante Microsoft domain controllers, zodat gebruikers slechts eenmaal moeten aanloggen.
Verschillende informatieveiligheid policies verplichten een aantal veiligheidsstandaarden, waaronder
paswoordvereisten.
Voor toegang van op het internet voorziet Digipolis :

Toegang tot intern gehoste toepassingen en/of intern netwerk via SSL VPN met authenticatie
via het RRN

Toegang vanop externe locaties tot externe applicaties via SAML tickets (in de achtergrond
geverifieerd via AD credentials of het Fedict authenticatie platform FAS)
3.
Beheer
Page 4
3.1
Configuration
Configuration management van clients wordt door Digipolis ten dele formeel en automatisch
uitgevoerd. Delen van de toepassing die op een fat client dienen geïnstalleerd worden gedistribueerd
en geïnventariseerd door Altiris Management Console (Versie 7.6).
3.2
Deployment
Om servers te deployen gebruiken we Fujitsu Serverview Installation Manager versie 11.12.11.04.
Hierbij worden voor gedefinieerde server configuratie baselines gebruikt. Daarnaast gebruikt Digipolis
VMWare templates met voor-gedefinieerde baselines.
Voor de clients wordt principieel de voorkeur gegeven aan web-gebaseerde toepassingen welke geen
distributiemechanisme nodig hebben.
Indien softwaredistributie onvermijdelijk is dan wordt software verdeeld via Symantec Management
Console (versie 7.6). Software voor clients wordt aangeleverd onder de vorm van MSI pakket.
Voor een substantieel deel van de medewerkers van het OCMW wordt software gestreamed door
Microsoft App-V naar de XenApp servers.
3.3
Monitoring
De component voor monitoring, alarmen en capaciteits- en performantie beheer gebruikt Digipolis
Nagios 5.2.0 in combinatie met Nsclient 0.4.1.105
De agenten sturen events, alarmen, performantie- en capaciteitsgegevens gegevens naar de
management servers.
Nagios ontvangt volgende informatie:

Events, om te informeren over zaken die zijn voorgekomen (foutieve login, hardware
component terug in goede staat, …)
3.4

Alerts om te melden dat iets gebeurd is dat de aandacht van een operator eist

Performantie- en capaciteitsgegevens
Workload scheduling
Digipolis gebruikt geen job scheduling software.
3.5
Toegang vanop afstand door leveranciers
Onder welbepaalde en gemotiveerde omstandigheden kunnen leveranciers toegang krijgen tot het
netwerk. Het staat de leverancier niet vrij een eigen methode van toegang tot het netwerk te kiezen.
Page 5
De toegelaten methodes zijn vermeld in de Digipolis informatieveiligheid standaard “Methodes en
middelen voor externe toegang tot het netwerk”.
Page 6