MacOS-Server und Windows-Server im Vergleich. Wie können sie am effizientesten und einfachsten verwaltet werden?

Inhaltsverzeichnis

1 Einleitung
1.1 Problemstellung
1.2 Fragestellung
1.3 Methodik
1.4 Hypothese

2 macOS Server
2.1 Domänenverwaltung
2.2 Konfiguration auf dem Client
2.3 Weitere Funktionen von macOS Server
2.3.1 DNS-Server
2.3.2 Profilmanager
2.3.3 Kalender, Kontakte und Mail
2.3.4 Nachrichten
2.3.5 Websites
2.3.6 Wiki
2.3.7 VPN
2.3.8 Softwareaktualisierung
2.3.9 NetInstall
2.3.10 Xsan
2.4 Fazit macOS Server

3 Macs in der Windows Domain
3.1 macOS mit Active Directory verbinden
3.2 macOS in der Windows Domain
3.3 macOS Server mit Windows Server verbinden – Das „goldene Dreieck“
3.3.1 Den Mac Server mit der Active Directory verbinden

4 Remote Management
4.1 TeamViewer
4.2 VNC
4.3 Chrome Remote Desktop
4.4 NoMachine
4.5 Apple und Microsoft Remote Desktop
4.6 Fazit der Remote Desktop Programme

5 Protokolle und Dateisysteme
5.1 LDAP
5.2 Kerberos
5.3 Netzwerk-Dateisysteme
5.3.1 NFS
5.3.2 TFTP
5.3.3 SMB
5.3.4 AFP
5.4 VPN Protokolle im Vergleich

6 Fazit

7 Abbildungsverzeichnis

8 REFERENZEN

Abstract

Windows and Linux Servers dominate the market. But if the goal is to not only manage Windows clients, but also Mac clients in a business environment, neither of these systems can provide all the necessary features. This thesis aims to discover, how the most efficient server-setup for such a domain could look like and if the solution could eliminate the need of expensive 3rd party solutions. In addition, research into some network-filesystems and protocols, which were used in this thesis in regards to performance, compatibility and security was conducted, alongside a comparison between TeamViewer and some open-source remote management software alternatives. The results showed, that the best-case scenario for managing a domain with Mac and Windows clients in it, is the so called “magic triangle” configuration, where the Windows and the Mac Server work together to manage all clients. The implications of these results are that once the servers are configured properly, this setup seems to meet all the requirements and will in the long turn be more cost effective than 3rd party, subscription-based cloud-software alternatives.

1 Einleitung

Apple gegen Microsoft, Mac gegen Windows. Wie auch im Consumer-Bereich, so auch im Business oder Server Segment bieten die IT-Giganten konkurrierende Softwareprodukte an. Zumindest lassen die Namen „Windows Server“ und „macOS Server“ diese Vermutung zu. Tatsächlich driften die früher konkurrierenden Serverprodukte immer weiter auseinander. Während Microsoft alle paar Jahre eine neue, eigenständige Windows Server Version auf den Markt bringt, ist Apples einst separater OS X Server zu einer App degradiert worden. In den aktuellsten Versionen des macOS Server werden immer mehr Funktionen gestrichen und der Fokus vermehrt auf das Hardwaremanagement verschoben¹. Da jedoch der Marktanteil von Apples Betriebssystem über die letzten fünf Jahre stetig einen leichten Anstieg vorweisen kann (12,3% Stand Jänner 2019)², bleibt die Frage offen, wie Firmen die Mac Computer verwenden, oder auch einen Mix aus Windows und Mac Maschinen in ihrer Domain haben, diese am effizientesten und einfachsten verwalten.

1.1 Problemstellung

Diese Arbeit soll Systemadministratoren/ -innen sowie Kleinunternehmen einen Überblick bieten, wie „gemischte“ Domänen am effizientesten zu verwalten sind. Auch das Gebiet der Remoteverwaltung, um auf Computer aus der Ferne zugreifen zu können, wird bearbeitet. Abschließend werden Protokolle und Netzwerkdateisysteme, die diese Arbeit behandelt kurz erläutert sowie in Puncto Sicherheit und Kompatibilität betrachtet.

1.2 Fragestellung

Welchen Funktionsumfang besitzt der macOS Server im Vergleich zum Windows Server? Wie gut lassen sich macOS Clients in einer Windows Domain verwalten? Welche (Netzwerk-) Dateisysteme eigenen sich gut für Multi-OS Domänen?

Folgende Segmente werden in dieser Arbeit NICHT behandelt:

- Verwaltung von mobilen Clients
- Einbezug des Linux Server oder Linux Clients
- Kostenpflichtige Alternativprogramme zur Domänenverwaltung

1.3 Methodik

Im Rahmen dieser Arbeit wurde der Funktionsumfang der Systeme theoretisch miteinander verglichen und auch die Protokolle und Dateisysteme wurden in Theorie auf deren Sicherheit und Kompatibilität verglichen. Praktisch wurden beide Server-Systeme für den Versuchsaufbau aufgesetzt und auch Clients eingerichtet. Des Weiteren wurden die unterschiedlichen Remotedesktop-Lösungen praktisch miteinander verglichen. Abschließend wurden die gewonnenen Erkenntnisse im finalen Kapitel reflektiert.

1.4 Hypothese

Das Managen und Pflegen einer Firmen-Domäne mit mehr als nur einem Betriebssystem ist mit einem hohen Konfigurationsaufwand verbunden und oft nicht lohnenswert. Deswegen sind meist kostspielige Softwarelösungen die einzige Möglichkeit, solche Domänen effizient zu verwalten.

2 macOS Server

Apple Inc. bieten seit 1999, mit der Veröffentlichung von Mac OS X Server 1.0, welches als erstes Betriebssystem der Firma auf der Grundlage des Betreibsystems von NeXT namens „NeXTSTEP“ basiert, und somit Apples geschlossenen Nanokernel mit dem von NeXT weiterentwickelten XNU Kernel ersetzte, ein Server-Betriebssysteme an.

Apple hat zuletzt 2009 mit Mac OS X Snow Leopard Server ein separates, eigenständiges Server-Betriebssystem vorgestellt. Seit dem 2011 veröffentlichten Mac OS X Lion bot Apple lediglich eine Server-App, die über den Mac App-Store geladen werden konnte und somit als Erweiterung zum „normalen“ macOS Betriebssystem anzusehen ist, an. In dieser Arbeit beziehen sich meine Erfahrungen auf Apples Server in der Version 5.6.3, der unter macOS 10.13.6 aufgesetzt ist.

Es wurde eine frische Installation des macOS High Sierra Betriebssystems durchgeführt und anschließend die Server – App installiert. Nach dem Starten des Open Directory Dienstes konnten bereits Benutzer/-innen in der Domäne angelegt werden. Damit Benutzeraccounts auch geteilte Home-Verzeichnisse (ein Benutzeraccount kann über unterschiedliche Clients immer auf das selbige Home-Verzeichnis zugreifen) verwenden können, musste noch eine Netzwerkfreigabe eingerichtet werden.

Das Einrichten der Netzwerkfreigabe geschieht nicht über die Server App, sondern über die Systemeinstellungen von macOS. Hierfür bietet macOS die Auswahl ob Apples AFP oder das SMB Protokoll zur Dateifreigabe verwendet werden soll (Details siehe Kapitel 5). Die Benutzeraccounts müssen auch die dementsprechenden Zugriffsrechte auf ihre Verzeihnisse besitzen.

Es kann, neben der Art des Accounts (lokal gespeichert oder im Netzwerk) auch die Verwendung diverser Dienste (siehe Kapitel 2.3) konfiguriert werden. Des Weiteren können auch die Zugriffsrechte- sowie Zugehörigkeit zu Gruppen eingestellt werden.

2.1 Domänenverwaltung

Apple Server³ nützt Open Directory zur Domänenverwaltung. Dies erlaubt es Clients, auch durch Dienste wie Kerberos, sich über das Netzwerk am Server zu authentifizieren. Außerdem unterstützt macOS auch die Verwendung von Microsofts Active Directory zur Domänenverwaltung (siehe Kapitel 3.1).

Open Directory⁴ baut auf dem offenen LDAP⁵ Protokoll auf, bietet, wie schon erwähnt auch Authentifizierung mittels Kerberos sowie Single-Sign-On durch Kerberos (einmal am Server angemeldet, sind alle Services verfügbar, ohne dass erneut Username und Passwort eingegeben werden müssen).

Generell ermöglichen Verzeichnisdienste, wie Apples Open Directory oder auch Microsofts Active Directory die zentrale Verwaltung von Domänenbenutzern/ -innen, Computern und weiteren Netzwerk-Ressourcen, wie beispielsweise Druckern.⁶ Dies verringert und vereinfacht die benötigten Client-Interaktionen für die System-Administratoren/ .innen und gibt ihnen einen besseren Überblick über die Benutzer/-innen und Ressourcen in ihrer Domäne. Außerdem vereinfachen Directorys auch die Arbeit für Domänenbenutzer/ -innen, indem sie es Endbenutzern durch geteilte Netzwerk-Homeverzeichnisse auch erlaubt wird, von einem beliebigen Rechner im Netzwerk auf ihre Daten zuzugreifen, oder für manche Benutzer/ -innen schon fortgeschrittene Aufgaben, wie zum Beispiel das Einbinden eines Netzwerkshares automatisch durchführen zu können. Es können auch Sicherheitsbestimmungen von Firmen mit Hilfe eines Directory-Dienstes umgesetzt werden, wie beispielsweise ein domänenweites Sperren von Webcams oder Zugriffsbeschränkungen auf bestimmte Ressourcen. Durch die Gliederung von Benutzeraccounts in Gruppen können solche Beschränkungen schnell und einfach auf viele Benutzer/ -innen zugleich angewendet werden – dies gilt sowohl für die Open Directory, als auch für die Active Directory.

Abbildung in dieser Leseprobe nicht enthalten

Abbildung 1: Der Open Directory Dienst im macOS Server

2.2 Konfiguration auf dem Client

Um mit einem macOS Client der eben erstellten Domäne beitreten zu können, muss vorher (mit dem lokalen Administrator Account) der Server als DNS-Server eingetragen werden (Systemeinstellungen à Netzwerke à DNS-Server), und in den Systemeinstellungen im Untermenü „Benutzer“ kann schlussendlich einer Domäne beigetreten werden. Nach dem Neustart des Systems ist nun die Anmeldung mit einem vorher erstellten Netzwerkaccount möglich. Die zentrale Verwaltung des Client-Rechners erfordert jedoch einen weiteren Schritt:

Ist der Client der Domain bereits beigetreten, kann dieser einfach über den Browser die Landing-Page des Servers aufrufen (in diesem Fall „server.private“ – siehe Abbildung 2). Die Nutzer/ -innen haben nun die Option, ihr Gerät zu konfigurieren (erfordert Authentifikation) oder auf andere Dienste des Servers über ein Webinterface zuzugreifen. Um nun als Domänenadministrator Clients verwalten zu können, muss auf dem Client-Rechner der Punkt „My Devices“ ausgewählt werden, über den Einstellungen auf den Client-Mac heruntergeladen werden können (die Authentifizierung mit einem lokalen Administrator-Account ist notwendig). Wenn ein Client erstmal mit dem Server verknüpft ist, so kann der Server-Admin das Gerät zentral verwalten, ohne erneut auf den Client zugreifen zu müssen (Details siehe Kapitel 2.3.2 Profilmanager).

Abbildung in dieser Leseprobe nicht enthalten

Abbildung 2: Landing-Page des Webinterfaces

2.3 Weitere Funktionen von macOS Server

In diesem Kapitel werden die Hauptfunktionen von macOS Server vorgestellt – nicht alle dieser Funktionen sind für das Verwalten von kleineren Domains notwendig oder grundsätzlich sinnvoll, jedoch soll dieses Kapitel einen kurzen Überblick über die Funktionalitäten geben, die der macOS Server bietet.

2.3.1 DNS-Server

Ein essentieller Dienst und auch eine Voraussetzung damit Clients der Domain beitreten können, ist ein DNS-Server. In der Server App kann dieser im Untermenü „DNS“ gestartet und gegebenenfalls weiter konfiguriert werden. Die automatische Konfiguration reicht aber für die Grundfunktionalität der Domain aus.

Abbildung in dieser Leseprobe nicht enthalten

Abbildung 3: Der DNS-Dienst im macOS Server

2.3.2 Profilmanager

Im Profilmanager⁷ können Macs sowie iOS- und Apple TV Geräte zentral verwaltet werden. Dies beginnt bei Einstellungen des Startverhaltens (zum Beispiel kann angegeben werden, welche Apps oder Netzwerkshares beim Einloggen eines Users gestartet/verbunden werden) bis hin zum automatischen Verteilen von Softwareupdates. Auch die Verteilung von bestimmten Apps oder auch Büchern kann der Domänenadministrator über den Profilmanager steuern. Alle vorhandenen Einstellungen und Ressourcen können entweder auf den jeweiligen Benutzeraccount, eine oder mehrere Gruppen, oder auch auf einen oder mehrere Client-Rechner angewandt werden. Wie auch der Windows Server mit seinen GPOs (siehe Kapitel 3.2), erlaubt auch der macOS Server keine Verwaltung von Nicht-macOS Clients.

Anstelle der GPOs in der Windows-Welt spricht man bei Apples Profilmanager von „Konfigurationsprofilen“⁸. Wie bereits erwähnt können diese Profile auf Benutzeraccounts oder Geräte angewendet werden: wird ein Benutzerprofil verwendet, so gelten die Einstellungen für jede/n Benutzer/-in auf jedem Gerät, auf dem er/sie sich einloggt, wird hingegen ein Geräteprofil verwendet, so gelten diese Einstellungen für alle Domänenbenutzer/ -innen, die sich auf diesem Rechner anmelden. Außerdem können über den Profilmanager, wie auch bei den GPOs mit dem Windows Server, Passwortrichtlinien für die gesamte Domäne festgelegt werden sowie domänenweite Einstellungen, wie die generelle Deaktivierung der Kamera sowohl auf macOS-, als auch auf iOS Geräte vorgenommen werden. Auch das Sperren- und Löschen von Macs oder iOS Geräten kann über den Profilmanager vorgenommen werden.

Die Konfigurationsprofile können nach dem Erstellen oder Durchführen von Änderungen entweder automatisch vom Server an die Clients oder die Benutzerprofile per „Push“ Message verteilt werden (insofern der Client- Rechner bereits in der Domain ist), oder wie bereits eingangs beschrieben manuell über das Profilmanager- Webinterface (siehe Abbildung 4) heruntergeladen werden. Ist das Gerät oder der Benutzeraccount, den die Änderungen betreffen gerade nicht im Netzwerk, beziehungsweise nicht online, so wird der Änderungsauftrag im Server „eingereiht“ und bei der nächsten Anmeldung des Benutzeraccounts oder beim nächsten Online-gehen des Gerätes durchgeführt.

Abbildung in dieser Leseprobe nicht enthalten

Abbildung 4: Das Webinterface des Profilmanagers

2.3.3 Kalender, Kontakte und Mail

Als Gegenstück zu Microsofts Exchange-Server, bietet der macOS Server Features wie einen Mail-, Kalender- sowie Kontakte-Dienst getrennt voneinander an.

Die Kalender-App⁹ in macOS ist für die persönliche Nutzung konzipiert, die durch den webbasierten, geteilten Kalender des macOS Servers ergänzt werden kann. Ist der Kalender-Dienst im Server aktiviert, können alle Nutzer/ -innen, die Zugang zum Webkalender (siehe Abbildung 5) erhalten haben gemeinsam Termin erstellen und Eintragungen vornehmen. Zusätzlich bietet der Kalender die Möglichkeit, Orte (bzw. Räume) zu „buchen“ und Ressourcen zu verwalten (hierzu müssen User vom Domain Admin als „Stellvertreter“ einer Ressource festgelegt werden) – beispielsweise einen Computer für die Dauer des Ereignisses zu reservieren.

Abbildung in dieser Leseprobe nicht enthalten

Abbildung 5: Der Online-Kalender im Webinterface

Der Kontakte-Service ist sozusagen eine Ergänzung zum Kalender. Die enthaltenen Kontakte, grundsätzlich bestehend aus den Domänen-Benutzeraccounts, können im Kalender als Teilnehmer/ -innen eines Ereignisses ausgewählt werden.

Der Mail-Dienst stellt einen E-Mail Service entweder lokal im Netzwerk, oder mit zusätzlicher Konfiguration auch über das Internet bereit. Letzteres ist für kleinere Firmen und Privatpersonen nicht zu empfehlen, da der administrative Aufwand rund um das Aktuell-halten der Anti-Virus und Spam-Datenbanken sowie das Managen der DNS Einträge und Weiterleitungen der Mails über den ISP¹⁰ im Vergleich zum Nutzen zu gering ist – vor allem da beispielsweise Googles „Gmail“ in der Basisversion selbst für Geschäftskunden kostenlos ist¹¹. Zusätzlich ist noch zu beachten¹², dass es von Vorteil ist den Mail-Dienst zu aktivieren, bevor alle Nutzer/ -innen angelegt werden, da sie auf diese Weise automatisch über den Benutzernamen eine E-Mail-Adresse zugeordnet bekommen. Ansonsten muss dies später manuell für jede/n Nutzer/ -in einzeln nachgeholt werden.

Abbildung in dieser Leseprobe nicht enthalten

Abbildung 6: Der E-Mail Dienst im macOS Server

Ist jedoch ein firmeneigener Mailserver eine Anforderung an die IT, so ist für viele Firmen und IT-Abteilungen oft Microsofts Exchange Server die erste Wahl. Verglichen zu dem eben kurz vorgestellten Mail-Dienst in macOS Server ist der Exchange Server ein eigenständiges Produkt, das gesondert vom Windows Server zu lizenzieren und installieren ist. Damit ist zwar ein höherer Kostenaufwand verbunden, dafür bietet der Exchange Server aber mehr Konfigurationsmöglichkeiten im Bezug zu Benutzerbeschränkungen, Inhalts- und Absender „Blacklists“ und auch Zugang über ein von überall auf der Welt aufrufbares Webinterface mit „Outlook on the Web“. Auch Funktionen wie ein Adressbuch oder ein Kalender bietet der Exchange Server seinen Benutzern/ -innen. Gemessen mit diesen Diensten und Funktionen im macOS Server, ist der Konfigurationsaufwand, vor allem wenn es um die Verwaltung und die Berechtigungen von nur wenigen Nutzern geht, mit dem Exchange Server wesentlich höher – die genannten Vorteile kann dieser besser in größeren Umgebungen ausspielen.

2.3.4 Nachrichten

Der Nachrichtendienst ist die firmeninterne Variante von Apples iMessage Service. Der Instant-Messaging Dienst basiert auf Jabber¹³ und ist somit als Cross-Plattform Anwendung auch auf anderen Betriebssystemen nutzbar.

[...]

¹ Vgl. https://www.macworld.com/article/3253104/apple-cuts-macos-server-features.html 12.04.19

² StatCounter. n.d. Marktanteile der führenden Betriebssysteme weltweit von Januar 2009 bis Januar 2019. Statista. https://de.statista.com/statistik/daten/studie/157902/umfrage/marktanteil-der-genutzten-betriebssysteme-weltweit-seit-2009/. 12.04.19

³ https://help.apple.com/serverapp/mac/5.0/#/apdD1F7D8CA-CF07-40CE-B2D4-8E3ACF4BCA40 02.01.2019

⁴ Apple Document P.40 https://web.archive.org/web/20070315112121/http://images.apple.com/server/pdfs/Open_Directory_v10.4.pdf 02.01.2019

⁵ Abkürzung: Lightweight Directory Access Protocol (Details siehe Kapitel 5.1)

⁶ Vgl. Open Dir. Admin S. 17

⁷ Vgl. “The little Book of macOS Server”: Chapter 7.1 – Profile Manager

⁸ https://help.apple.com/serverapp/mac/5.6/index.html?localePath=de.lproj#/apd0E2214C6-50F0-48C9-A482-74CEA1D77A9F 24.02.19

⁹ Vgl. “The little Book of macOS Server”: Chapter 7.2 – Calendar

¹⁰ Abkürzung: Internet-Service-Provider, Deutsch: Internetanbieter

¹¹ https://www.thebalancesmb.com/gmail-and-home-business-1794416 , 20.02.2019

¹² Vgl. “The little Book of macOS Server”: Chapter 7.4 – Mail

¹³ https://www.jabber.org/ 20.02.19