Zum Inhalt springen

Berufserfahrung im Detail

Die ausführliche Fassung des Werdegangs. Wer es kürzer mag, findet die Übersicht im Lebenslauf.

Lebenslauf ansehen Eigene Infrastruktur Unterlagen anfordern

Vollständige Unterlagen — Lebenslauf mit Kontaktdaten, Zeugnisse und Zertifikate als PDF — gern auf Anfrage über das Kontaktformular (Haken „Zugang zu den Unterlagen" setzen).

Berufliche Stationen

07/2022 — heute

System Engineer, Datacenter & CloudAktuell

TeleData GmbH, Friedrichshafen · Bereich Datacenter & Cloud

Betrieb und Weiterentwicklung der Plattformen, auf denen die Kundendienste eines regionalen Netzbetreibers laufen: Virtualisierung an zwei Standorten, Storage über mehrere Standorte, dazu Mail, DNS und Webhosting — in einem nach ISO 27001 zertifizierten Rechenzentrum, angelehnt an den Tier-Level-3-Standard. Anders als in einer Firmen-IT trifft eine Störung hier nicht einen Arbeitsplatz, sondern viele Kunden gleichzeitig — entsprechend laufen Änderungen über Staging-Systeme, Wartungsfenster und dokumentierte Verfahren.

Virtualisierung

  • Betrieb der OpenNebula-Plattform mit redundanten Controllern und mehreren Dutzend KVM-Hypervisoren an zwei Standorten
  • Betrieb mehrerer VMware-Cluster parallel dazu
  • Betrieb mehrerer Proxmox-VE-Cluster
  • Dedizierte Staging-Hosts an beiden Standorten — Updates und Änderungen gehen dort durch, bevor sie produktiv werden
  • Bereitstellung, Anpassung und Rückbau von Instanzen im laufenden Betrieb
  • Fehlersuche auf Hypervisor-Ebene, wenn eine Instanz sich nicht wie erwartet verhält

Migrationen zwischen Plattformen

  • Migration einer Kundenumgebung von VMware auf Proxmox, gemeinsam mit dem Kunden geplant und durchgeführt
  • Migrationen von OpenNebula nach VMware und in der Gegenrichtung von VMware nach OpenNebula
  • Plattformwechsel gehören damit zum Handwerk, nicht zur Ausnahme

Storage

  • Betrieb mehrerer NetApp-Cluster über mehrere Standorte als Grundlage für Virtualisierung und Dienste
  • Anlage und Erweiterung von Volumes und Exporten
  • Snapshot- und Sicherungskonzepte sowie Wiederherstellung im Bedarfsfall

Mailplattform

  • Betreuung und Weiterentwicklung des Mailclusters mit einer fünfstelligen Zahl an Postfächern
  • Zustellbarkeit sichern: SPF, DKIM und DMARC, Pflege der Reputation, Umgang mit Blocklisten
  • Analyse von Zustellproblemen anhand der Logs, von der Annahme bis zur Übergabe an den Zielserver

Monitoring und Automatisierung

  • Betrieb von Icinga als Überwachungsplattform, mit Master und Satelliten in den einzelnen Netzen
  • Automatisierung der Umgebung über Puppet, Konfiguration als Code statt als Handgriff
  • Aufbau und Pflege der Prüfungen, damit eine Störung auffällt, bevor Kunden sie melden

DNS und Webhosting

  • Betrieb und Pflege der DNS-Infrastruktur, Zonenverwaltung und Delegationen
  • Betrieb der Webhosting-Plattform

Betrieb

  • Rufbereitschaft in drei Stufen — primär, sekundär und tertiär —, etwa viermal im Jahr
  • Update- und Patchstände der Plattformen, geordnete Wartungsfenster
  • Analyse und Behebung von Störungen im 3rd-Level-Support, Dokumentation von Systemen und Verfahren
  • Mitarbeit an Entscheidungsvorlagen und Konzepten

04/2020 — 06/2022

Manager IT-Infrastruktur

Michael Bauner Consulting Services, Friedrichshafen

Alleinige Verantwortung für die gesamte IT zweier Firmen an mehreren Standorten — vom Netzplan über die Server bis zum Arbeitsplatz des einzelnen Mitarbeiters.

Management mehrerer Netzwerke an verschiedenen Standorten für zwei Firmen

  • Aufbau, Betreuung und Erweiterung der bestehenden Infrastruktur (WAN, LAN, WLAN)
  • Neuaufbau einer kompletten IT-Infrastruktur an einem neuen Firmenstandort
  • Installation und Betrieb der Firewalls an den Standorten (Endian und pfSense)
  • Implementierung der Netzwerk- und Client-Sicherheit (VPN/OpenVPN, Virenschutz/AVAST, Verschlüsselung/LUKS & BitLocker, ReverseProxy/NGINX, Passwortverwaltung/KeePass & Bitwarden)
  • Dienste-Virtualisierung (Proxmox Virtual Environment)
  • Monitoring der Server und Dienste (Zabbix)
  • Erstellung und Implementierung einer Backupstrategie für Server und Clients (Bareos, Proxmox Backup Server)
  • Rechteverwaltung aller User (LDAP/FreeIPA, Nextcloud, Firewall/Endian)
  • Aktualisierung und Umstellung auf neue Hoster/Provider
  • Installation, Konfiguration und technische Absicherung mehrerer WordPress-Auftritte (Backups, Updates, Sicherheitseinstellungen)
  • Shopsysteme: Migration und Verfügbarkeitsüberwachung von PrestaShop, Mitbetreuung von Shopify, Konzeption neuer Shopstrukturen
  • Planung, Konzeption, Installation und Betrieb des Produkts YourNextcloud+

Technische Unterstützung der Mitarbeiter

  • Bereitstellung und Update/Upgrade von Hard- und Software
  • Fehleranalyse bei auftretenden Problemen
  • Migration von Windows auf Linux
  • Virtualisierung von Windows-Only-Software (Photoshop, DATEV)

Programmierung

  • Interne Tools (Bash, Python, HTML/CSS, PHP, jQuery)
  • gRPC-/REST-API für ein eigenes KI-Produkt (Python, Tesseract, PyTorch)

08/2019 — 03/2020

Manager IT-Infrastruktur

Endpoint Protector GmbH, Friedrichshafen

Infrastrukturverantwortung und zugleich technischer Ansprechpartner für eine Data-Loss-Prevention-Software, mit direkter Leitung zum Hersteller in Rumänien.

Management mehrerer Netzwerke an verschiedenen Standorten für zwei Firmen

  • Aufbau, Betreuung und Erweiterung der bestehenden Infrastruktur (WAN, LAN, WLAN)
  • Implementierung der Netzwerk- und Client-Sicherheit (VPN/OpenVPN, Virenschutz/AVAST, Verschlüsselung/BitLocker, ReverseProxy/NGINX, Passwortverwaltung/KeePass)
  • Dienste-Virtualisierung (Proxmox Virtual Environment)
  • Monitoring der Server und Dienste (Zabbix)
  • Erstellung und Implementierung einer Backupstrategie für Server und Clients (Bareos, Proxmox Backup Server)
  • Rechteverwaltung aller User (LDAP/FreeIPA, Nextcloud, Firewall/Endian)
  • Aktualisierung und Umstellung auf neue Hoster/Provider
  • Einführung der Hochverfügbarkeit der zentralen Systeme — Verantwortung für alle Prozesse von der Recherche bis zur Einrichtung

Technische Unterstützung der Mitarbeiter

  • Bereitstellung und Update/Upgrade von Hard- und Software
  • Fehleranalyse bei auftretenden Problemen

Produktunterstützung der EndpointProtector Data Loss Prevention Software

  • Initiale Schulung beim Hersteller in Rumänien
  • Direkte Zusammenarbeit mit dem Entwicklungs-, Qualitätssicherungs- und Supportteam des Herstellers in Rumänien
  • Bereitstellung, Inbetriebnahme und Integration in homogenen und heterogenen Netzwerken (Windows, macOS, Linux)
  • Proof-of-Concept-Analyse und -Einrichtung
  • Kundensupport bei Fragen, Problemen, Konfiguration und Inbetriebnahme
  • Penetrationstests
  • Betatests neuer Releases

06/2017 — 07/2017 und 01/2016 — 09/2016

Junior Netzwerk- und Data-Loss-Prevention-Spezialist

Endpoint Protector GmbH, Friedrichshafen

  • Einstieg in Netzbetrieb und Produktsupport, zwischen den beiden Abschnitten lag das duale Studium
  • Unterstützung bei Inbetriebnahme, Konfiguration und Kundensupport der DLP-Software
  • Mitarbeit bei Proof-of-Concept-Aufbauten und Tests

08/2015 — 12/2015

Junior Administrator / Systemadministrator, Teilzeit

Endpoint Protector GmbH und Michael Bauner Consulting Services

  • Erste Station: Anwendersupport, Clientbetreuung und Zuarbeit im Serverbetrieb

Ausbildung

08/2017 — 07/2019

Fachinformatiker für Systemintegration

Elektronikschule Tettnang, Ausbildungsbetrieb Endpoint Protector GmbH

  • Abschlussprüfung der IHK Bodensee-Oberschwaben mit der Note gut (84 Punkte) bestanden
  • Parallel Mitarbeit im laufenden Netz- und Serverbetrieb

10/2016 — 05/2017

Duales Studium Informationstechnik

DHBW, Praxispartner Endpoint Protector GmbH

  • Ohne Abschluss beendet, anschließend Wechsel in die Ausbildung

Eigene Infrastruktur

Ein einziger Proxmox-VE-Host im Rechenzentrum trägt die gesamte Umgebung. Die Firewall läuft selbst als virtuelle Maschine darauf und hängt an zwölf getrennten Bridges — eine eigene je Dienst, nicht ein gemeinsames internes Netz. Fällt ein Dienst aus oder wird kompromittiert, bleibt der Rest davon unberührt.

Netzgrenze

  • vmbr0 WAN — OPNsense als virtualisierte Firewall mit eigener Bridge je Dienst: Regelwerk und NAT, WireGuard für den Fernzugang, HAProxy als vorgelagerter Reverse Proxy
  • Zertifikate entstehen ebenfalls auf der Firewall: Der ACME-Client fordert sie an, verlängert sie und legt sie für HAProxy bereit
  • Für den Besitznachweis setzt er per nsupdate einen Eintrag in die Zone auf auth00 — damit genügt der DNS-01-Weg und es braucht keinen von außen erreichbaren Webserver
  • Erreichbar von außen ist ausschließlich, was erreichbar sein muss

Netze und Maschinen

Bridge Zweck Maschinen
vmbr1 JUMP srvjump00
vmbr2 DNSAUTH auth00
vmbr3 PUPPET puppet00, puppetdb00, fmproxy00, pgsql00, client00
vmbr4 MIRROR mirror00
vmbr5 GIT gitlab00
vmbr6 HOSTING web00, mysql00
vmbr7 METRICS grafana00, influxdb00
vmbr8 MAILCOW mailcow00
vmbr9 MONITORING icinga00
vmbr10 MEDIA jellyfin00
vmbr11 VAULTWARDEN vaultwarden00
vmbr12 BACKUP bareos00

Was dort läuft

  • Jumpserver als einziger SSH-Einstiegspunkt; kein Dienst nimmt Verwaltungsverbindungen direkt aus dem Internet entgegen
  • BIND 9 als autoritativer Hidden Primary, nach außen nicht sichtbar und in keiner NS-Delegation aufgeführt; Zonenverteilung über Catalog Zones, Übertragung per AXFR an Slaves bei einem externen Hoster, durchgehend DNSSEC-signiert
  • HAProxy und ACME auf der Firewall: HAProxy nimmt die Verbindungen entgegen und verteilt sie an die Dienste, der ACME-Client fordert die Zertifikate an und verlängert sie. Der Besitznachweis läuft über DNS-01, den nötigen Eintrag setzt die Firewall per nsupdate in die Zone auf auth00
  • Puppet, PuppetDB, Foreman Proxy und PostgreSQL für Konfiguration als Code, dazu ein Testknoten für neue Manifeste
  • GitLab für Puppet-Module, Hiera-Daten und eigene Projekte
  • Webhosting mit getrenntem Webserver und Datenbankserver
  • mailcow als Mailserver für die eigenen Domains inklusive Spamfilter, SPF, DKIM und DMARC
  • Vaultwarden als selbst gehostete Passwortverwaltung
  • Icinga 2 als Master mit Agent auf jeder Maschine: über fünfzig Prüfklassen aus einem eigenen Puppet-Modul, jede mit Handlungsanweisung direkt am Alarm. Benachrichtigung gestaffelt nach Dringlichkeit über Mail und Push, Messdaten nach InfluxDB, dargestellt in Grafana
  • Bareos als Sicherung: Jeder Host meldet seine Sicherungskonfiguration über Puppet an, der Director sammelt sie ein — eine neue Maschine ist im Backup, sobald sie in der Verwaltung steht. Die Jobergebnisse laufen über die Icinga-API zurück ins Monitoring; bleibt eine Sicherung aus, meldet sich der Server von selbst
  • Zentrale Protokollsammlung mit Loki und Alloy: jeder Host schickt sein systemd-Journal an einen eigenen Server, durchsuchbar in Grafana neben den Messwerten. Die Etiketten sind bewusst auf vier begrenzt — jedes weitere vervielfacht die Zahl der Zeitreihen
  • fail2ban auf jedem Host, je Dienst konfiguriert: die Firewall sieht auf Netzebene nur eine gültige Verbindung, nicht dass es der tausendste Anmeldeversuch ist
  • Nextcloud als eigene Dateiablage, Konfiguration über occ statt über eine von Puppet geschriebene Datei — die Anwendung bleibt Herr ihrer eigenen Einstellungen
  • Debian-Paketspiegel über apt-mirror, Jellyfin als Medienserver

Die vollständige Topologie mit allen Netzen und Diensten steht auf der Startseite.