Berufserfahrung im Detail

Die ausführliche Fassung des Werdegangs. Wer es kürzer mag, findet die Übersicht im Lebenslauf.

Lebenslauf ansehen Eigene Infrastruktur Unterlagen anfordern

Vollständige Unterlagen — Lebenslauf mit Kontaktdaten, Zeugnisse und Zertifikate als PDF — gern auf Anfrage über das Kontaktformular (Haken „Zugang zu den Unterlagen" setzen).

Berufliche Stationen

07/2022 — heute

System Engineer, Datacenter & CloudAktuell

TeleData GmbH, Friedrichshafen · Bereich Datacenter & Cloud

Betrieb und Weiterentwicklung der Plattformen, auf denen die Kundendienste eines regionalen Netzbetreibers laufen: Virtualisierung an zwei Standorten, Storage über mehrere Standorte, dazu Mail, DNS und Webhosting — in einem nach ISO 27001 zertifizierten Rechenzentrum, angelehnt an den Tier-Level-3-Standard. Anders als in einer Firmen-IT trifft eine Störung hier nicht einen Arbeitsplatz, sondern viele Kunden gleichzeitig — entsprechend laufen Änderungen über Staging-Systeme, Wartungsfenster und dokumentierte Verfahren.

Virtualisierung

Betrieb der OpenNebula-Plattform mit redundanten Controllern und mehreren Dutzend KVM-Hypervisoren an zwei Standorten
Betrieb mehrerer VMware-Cluster parallel dazu
Betrieb mehrerer Proxmox-VE-Cluster
Dedizierte Staging-Hosts an beiden Standorten — Updates und Änderungen gehen dort durch, bevor sie produktiv werden
Bereitstellung, Anpassung und Rückbau von Instanzen im laufenden Betrieb
Fehlersuche auf Hypervisor-Ebene, wenn eine Instanz sich nicht wie erwartet verhält

Migrationen zwischen Plattformen

Migration einer Kundenumgebung von VMware auf Proxmox, gemeinsam mit dem Kunden geplant und durchgeführt
Migrationen von OpenNebula nach VMware und in der Gegenrichtung von VMware nach OpenNebula
Plattformwechsel gehören damit zum Handwerk, nicht zur Ausnahme

Storage

Betrieb mehrerer NetApp-Cluster über mehrere Standorte als Grundlage für Virtualisierung und Dienste
Anlage und Erweiterung von Volumes und Exporten
Snapshot- und Sicherungskonzepte sowie Wiederherstellung im Bedarfsfall

Mailplattform

Betreuung und Weiterentwicklung des Mailclusters mit einer fünfstelligen Zahl an Postfächern
Zustellbarkeit sichern: SPF, DKIM und DMARC, Pflege der Reputation, Umgang mit Blocklisten
Analyse von Zustellproblemen anhand der Logs, von der Annahme bis zur Übergabe an den Zielserver

Monitoring und Automatisierung

Betrieb von Icinga als Überwachungsplattform, mit Master und Satelliten in den einzelnen Netzen
Automatisierung der Umgebung über Puppet, Konfiguration als Code statt als Handgriff
Aufbau und Pflege der Prüfungen, damit eine Störung auffällt, bevor Kunden sie melden

DNS und Webhosting

Betrieb und Pflege der DNS-Infrastruktur, Zonenverwaltung und Delegationen
Betrieb der Webhosting-Plattform

Betrieb

Rufbereitschaft in drei Stufen — primär, sekundär und tertiär —, etwa viermal im Jahr
Update- und Patchstände der Plattformen, geordnete Wartungsfenster
Analyse und Behebung von Störungen im 3rd-Level-Support, Dokumentation von Systemen und Verfahren
Mitarbeit an Entscheidungsvorlagen und Konzepten

04/2020 — 06/2022

Manager IT-Infrastruktur

Michael Bauner Consulting Services, Friedrichshafen

Alleinige Verantwortung für die gesamte IT zweier Firmen an mehreren Standorten — vom Netzplan über die Server bis zum Arbeitsplatz des einzelnen Mitarbeiters.

Management mehrerer Netzwerke an verschiedenen Standorten für zwei Firmen

Aufbau, Betreuung und Erweiterung der bestehenden Infrastruktur (WAN, LAN, WLAN)
Neuaufbau einer kompletten IT-Infrastruktur an einem neuen Firmenstandort
Installation und Betrieb der Firewalls an den Standorten (Endian und pfSense)
Implementierung der Netzwerk- und Client-Sicherheit (VPN/OpenVPN, Virenschutz/AVAST, Verschlüsselung/LUKS & BitLocker, ReverseProxy/NGINX, Passwortverwaltung/KeePass & Bitwarden)
Dienste-Virtualisierung (Proxmox Virtual Environment)
Monitoring der Server und Dienste (Zabbix)
Erstellung und Implementierung einer Backupstrategie für Server und Clients (Bareos, Proxmox Backup Server)
Rechteverwaltung aller User (LDAP/FreeIPA, Nextcloud, Firewall/Endian)
Aktualisierung und Umstellung auf neue Hoster/Provider
Installation, Konfiguration und technische Absicherung mehrerer WordPress-Auftritte (Backups, Updates, Sicherheitseinstellungen)
Shopsysteme: Migration und Verfügbarkeitsüberwachung von PrestaShop, Mitbetreuung von Shopify, Konzeption neuer Shopstrukturen
Planung, Konzeption, Installation und Betrieb des Produkts YourNextcloud+

Technische Unterstützung der Mitarbeiter

Bereitstellung und Update/Upgrade von Hard- und Software
Fehleranalyse bei auftretenden Problemen
Migration von Windows auf Linux
Virtualisierung von Windows-Only-Software (Photoshop, DATEV)

Programmierung

Interne Tools (Bash, Python, HTML/CSS, PHP, jQuery)
gRPC-/REST-API für ein eigenes KI-Produkt (Python, Tesseract, PyTorch)

08/2019 — 03/2020

Manager IT-Infrastruktur

Endpoint Protector GmbH, Friedrichshafen

Infrastrukturverantwortung und zugleich technischer Ansprechpartner für eine Data-Loss-Prevention-Software, mit direkter Leitung zum Hersteller in Rumänien.

Management mehrerer Netzwerke an verschiedenen Standorten für zwei Firmen

Aufbau, Betreuung und Erweiterung der bestehenden Infrastruktur (WAN, LAN, WLAN)
Implementierung der Netzwerk- und Client-Sicherheit (VPN/OpenVPN, Virenschutz/AVAST, Verschlüsselung/BitLocker, ReverseProxy/NGINX, Passwortverwaltung/KeePass)
Dienste-Virtualisierung (Proxmox Virtual Environment)
Monitoring der Server und Dienste (Zabbix)
Erstellung und Implementierung einer Backupstrategie für Server und Clients (Bareos, Proxmox Backup Server)
Rechteverwaltung aller User (LDAP/FreeIPA, Nextcloud, Firewall/Endian)
Aktualisierung und Umstellung auf neue Hoster/Provider
Einführung der Hochverfügbarkeit der zentralen Systeme — Verantwortung für alle Prozesse von der Recherche bis zur Einrichtung

Technische Unterstützung der Mitarbeiter

Bereitstellung und Update/Upgrade von Hard- und Software
Fehleranalyse bei auftretenden Problemen

Produktunterstützung der EndpointProtector Data Loss Prevention Software

Initiale Schulung beim Hersteller in Rumänien
Direkte Zusammenarbeit mit dem Entwicklungs-, Qualitätssicherungs- und Supportteam des Herstellers in Rumänien
Bereitstellung, Inbetriebnahme und Integration in homogenen und heterogenen Netzwerken (Windows, macOS, Linux)
Proof-of-Concept-Analyse und -Einrichtung
Kundensupport bei Fragen, Problemen, Konfiguration und Inbetriebnahme
Penetrationstests
Betatests neuer Releases

06/2017 — 07/2017 und 01/2016 — 09/2016

Junior Netzwerk- und Data-Loss-Prevention-Spezialist

Endpoint Protector GmbH, Friedrichshafen

Einstieg in Netzbetrieb und Produktsupport, zwischen den beiden Abschnitten lag das duale Studium
Unterstützung bei Inbetriebnahme, Konfiguration und Kundensupport der DLP-Software
Mitarbeit bei Proof-of-Concept-Aufbauten und Tests

08/2015 — 12/2015

Junior Administrator / Systemadministrator, Teilzeit

Endpoint Protector GmbH und Michael Bauner Consulting Services

Erste Station: Anwendersupport, Clientbetreuung und Zuarbeit im Serverbetrieb

Ausbildung

08/2017 — 07/2019

Fachinformatiker für Systemintegration

Elektronikschule Tettnang, Ausbildungsbetrieb Endpoint Protector GmbH

Abschlussprüfung der IHK Bodensee-Oberschwaben mit der Note gut (84 Punkte) bestanden
Parallel Mitarbeit im laufenden Netz- und Serverbetrieb

10/2016 — 05/2017

Duales Studium Informationstechnik

DHBW, Praxispartner Endpoint Protector GmbH

Ohne Abschluss beendet, anschließend Wechsel in die Ausbildung

Eigene Infrastruktur

Ein einziger Proxmox-VE-Host im Rechenzentrum trägt die gesamte Umgebung. Die Firewall läuft selbst als virtuelle Maschine darauf und trennt zwölf Netze als VLANs auf einem gemeinsamen Trunk — ein eigenes je Dienst mit eigenem /24, nicht ein gemeinsames internes Netz. Fällt ein Dienst aus oder wird kompromittiert, bleibt der Rest davon unberührt.

Netzgrenze

OPNsense als virtualisierte Firewall: WAN an vmbr0, alle Dienstnetze als VLANs an vmbr1; Regelwerk und NAT je Netz, HAProxy als vorgelagerter Reverse Proxy; ein Fernzugang über WireGuard ist im Aufbau
Neue Netze kosten keine neue Bridge und keine neue Netzwerkkarte, nur ein VLAN — die ID folgt dem Adressplan (1000 + drittes Oktett)
Zertifikate entstehen ebenfalls auf der Firewall: Der ACME-Client fordert sie an, verlängert sie und legt sie für HAProxy bereit
Für den Besitznachweis setzt er per nsupdate einen Eintrag in die Zone auf auth00 — damit genügt der DNS-01-Weg und es braucht keinen von außen erreichbaren Webserver
Erreichbar von außen ist ausschließlich, was erreichbar sein muss

Netze und Maschinen

VLAN	Zweck	Maschinen
1001	JUMP	srvjump00
1002	DNSAUTH	auth00
1003	PUPPET	puppet00, puppetdb00, fmproxy00, pgsql00, client00
1004	MIRROR	mirror00
1005	GIT	gitlab00
1006	HOSTING	web00, mysql00, nextcloud00
1007	METRICS	grafana00, influxdb00, loki00
1008	MAILCOW	mailcow00
1009	MONITORING	icinga00
1010	MEDIA	jellyfin00
1011	VAULTWARDEN	vaultwarden00
1012	BACKUP	bareos00

Was dort läuft

Jumpserver als einziger SSH-Einstiegspunkt; kein Dienst nimmt Verwaltungsverbindungen direkt aus dem Internet entgegen
BIND 9 als autoritativer Hidden Primary, nach außen nicht sichtbar und in keiner NS-Delegation aufgeführt; Zonenverteilung über Catalog Zones, Übertragung per AXFR an Slaves bei einem externen Hoster, durchgehend DNSSEC-signiert
HAProxy und ACME auf der Firewall: HAProxy nimmt die Verbindungen entgegen und verteilt sie an die Dienste, der ACME-Client fordert die Zertifikate an und verlängert sie. Der Besitznachweis läuft über DNS-01, den nötigen Eintrag setzt die Firewall per nsupdate in die Zone auf auth00
OpenVox (Puppet), PuppetDB, Foreman und PostgreSQL für Konfiguration als Code, dazu ein Testknoten für neue Manifeste; die ganze Flotte läuft auf Debian 13
GitLab für Puppet-Module, Hiera-Daten und eigene Projekte
Webhosting mit getrenntem Webserver und Datenbankserver
mailcow als Mailserver für die eigenen Domains inklusive Spamfilter, SPF, DKIM und DMARC
Vaultwarden als selbst gehostete Passwortverwaltung
Icinga 2 als Master mit Agent auf jeder Maschine: über fünfzig Prüfklassen aus einem eigenen Puppet-Modul, jede mit Handlungsanweisung direkt am Alarm; die Firewall wird über ihre API geprüft und ist Elternknoten aller internen Hosts, damit ihr Ausfall eine Meldung auslöst statt zwei Dutzend. Benachrichtigung gestaffelt nach Dringlichkeit über Mail und Push, Messdaten nach InfluxDB, dargestellt in Grafana. Ein unabhängiger Wächter in einem anderen Rechenzentrum erwartet regelmäßig ein Lebenszeichen vom Master und schlägt Alarm, wenn es ausbleibt
Bareos als Sicherung: Jeder Host meldet seine Sicherungskonfiguration über Puppet an, der Director sammelt sie ein — eine neue Maschine ist im Backup, sobald sie in der Verwaltung steht. Die Jobergebnisse laufen über die Icinga-API zurück ins Monitoring; bleibt eine Sicherung aus, meldet sich der Server von selbst. Jede Nacht geht eine Kopie außer Haus nach Helsinki, und ein automatischer Rücksicherungstest stellt regelmäßig eine Datei aus Sicherung und Kopie wieder her
Zentrale Protokollsammlung mit Loki und Alloy: jeder Host schickt sein systemd-Journal an einen eigenen Server, durchsuchbar in Grafana neben den Messwerten. Die Etiketten sind bewusst auf vier begrenzt — jedes weitere vervielfacht die Zahl der Zeitreihen
fail2ban auf jedem Host, je Dienst konfiguriert: die Firewall sieht auf Netzebene nur eine gültige Verbindung, nicht dass es der tausendste Anmeldeversuch ist
Nextcloud als eigene Dateiablage, Konfiguration über occ statt über eine von Puppet geschriebene Datei — die Anwendung bleibt Herr ihrer eigenen Einstellungen
Paketspiegel über aptly für Debian und alle Fremdquellen, mit Snapshots und eigenem Signaturschlüssel; neue Maschinen installiert Foreman vollständig daraus
Jellyfin als Medienserver

Was sich wann geändert hat, steht im Änderungsprotokoll; die größeren Umbauten sind in den Notizen beschrieben.

Die vollständige Topologie mit allen Netzen und Diensten steht auf der Startseite.