UCS 3.2-4 Release Notes

Release Notes für die Inbetriebnahme und Aktualisierung von Univention Corporate Server (UCS) 3.2-4


Inhaltsverzeichnis

1. Univention Corporate Server (UCS) 3.2-4
2. Empfohlene Update-Reihenfolge für Umgebungen mit mehr als einem UCS-Server
3. Vorbereitung des Updates
4. Nachbereitung des Updates
4.1. Betrieb eines lokalen Repository-Servers / Preup- und Postup-Skripte
5. Hinweise zum Einsatz einzelner Pakete
5.1. Erfassung von Nutzungsstatistiken bei Verwendung der Free-For-Personal-Use-Version
5.2. UEFI-Installations-DVD
5.3. Umfang des Sicherheits-Supports von Webkit, Konqueror und QtWebKit
5.4. Empfohlene Browser für den Zugriff auf die Univention Management Console
5.5. Einschränkungen im Samba 4-Betrieb
5.6. Installation in VirtualBox
5.7. Installation in Citrix XenServer
5.8. Migration einer Samba 3-Umgebung auf Samba 4
5.9. Xen
6. Changelog
6.1. General
6.2. Univention Updater
6.3. Basic system services
6.3.1. Linux kernel and firmware packages
6.3.2. Univention Configuration Registry
6.4. Domain services
6.4.1. Univention Directory Manager
6.4.2. OpenLDAP
6.4.2.1. Listener/Notifier domain replication
6.4.3. Join
6.5. Univention Management Console
6.5.1. Univention Management Console web interface
6.5.2. Univention Management Console server
6.5.3. Basic settings / Appliance mode
6.5.4. Users module
6.6. Software deployment
6.6.1. Software monitor
6.7. Univention Library
6.8. System services
6.8.1. Mail services
6.8.2. Printing services
6.8.3. Nagios
6.8.4. SSL
6.8.5. Proxy services
6.8.6. PAM / Local group cache
6.8.7. Other services
6.9. Virtualisation
6.9.1. Xen
6.10. Services for Windows
6.10.1. Samba
6.10.2. Univention AD Takeover
6.10.3. Univention S4 Connector
6.10.4. Univention Active Directory Connector
Literaturverzeichnis

Kapitel 1. Univention Corporate Server (UCS) 3.2-4

Mit Univention Corporate Server 3.2-4 steht das vierte Point-Release für Univention Corporate Server (UCS) zur Verfügung. Vorhandene UCS-Systeme können über das von Univention bereitgestellte Online Repository aktualisiert werden. Alternativ können Updates über eine Update-DVD eingespielt werden. Für Neuinstallationen stehen UCS 3.2-4 ISO-Images zur Verfügung. UCS 3.2-4 beinhaltet alle für UCS 3.2-3 veröffentlichten Errata-Updates.

Kapitel 2. Empfohlene Update-Reihenfolge für Umgebungen mit mehr als einem UCS-Server

In Umgebungen mit mehr als einem UCS-System muss die Update-Reihenfolge der UCS-Systeme beachtet werden:

Auf dem Domänencontroller Master wird die maßgebliche (authoritative) Version des LDAP-Verzeichnisdienstes vorgehalten, die an alle übrigen LDAP-Server der UCS-Domäne repliziert wird. Da bei Release-Updates Veränderungen an den LDAP-Schemata auftreten können, muss der Domänencontroller Master bei einem Release-Update immer als erstes System aktualisiert werden.

Generell ist es empfehlenswert, alle UCS-Systeme möglichst in einem Wartungsfenster zu aktualisieren.

Kapitel 3. Vorbereitung des Updates

Es sollte geprüft werden, ob ausreichend Festplattenplatz verfügbar ist. Eine Standard-Installation benötigt min. 6 GB Speicherplatz. Das Update benötigt je nach Umfang der vorhanden Installation mindestens 1 GB weiteren Speicherplatz zum Herunterladen und Installieren der Pakete.

Für das Update sollte eine Anmeldung auf der Console mit dem Benutzer root durchgeführt und das Update dort gestartet werden. Alternativ kann das Update über die Univention Management Console durchgeführt werden.

Eine Remote-Aktualisierung über SSH wird nicht empfohlen, da dies beispielsweise bei Unterbrechung der Netzverbindung zum Abbruch des Update-Vorgangs und zu einer Beeinträchtigung des Systems führen kann. Sollte dennoch eine Aktualisierung über eine Netzverbindung durchgeführt werden, ist sicherzustellen, dass das Update bei Unterbrechung der Netzverbindung trotzdem weiterläuft. Hierfür können beispielsweise die Tools screen oder at eingesetzt werden, die auf allen Systemrollen installiert sind.

Kapitel 4. Nachbereitung des Updates

Nach dem Update müssen die neuen oder aktualisierten Join-Skripte ausgeführt werden. Dies kann auf zwei Wegen erfolgen: Entweder über das UMC-Modul Domänenbeitritt oder durch Aufruf des folgenden Befehls als Benutzer root:

univention-run-join-scripts

Anschließend sollte das UCS-System neu gestartet werden.

4.1. Betrieb eines lokalen Repository-Servers / Preup- und Postup-SkripteFeedback

Preup- und Postup-Skripte sind Skripte, die vor und nach Release-Updates aufgerufen werden (z.B. zur Nachbereitung des Updates, etwa die Deinstallation obsoleter Pakete). Ab UCS 3.2 werden diese Skripte kryptographisch signiert, um eine unerlaubte Modifikation zu verhindern. Beim Update und Spiegeln des Repositories werden diese Signaturen überprüft. Sind diese ungültig oder fehlen, so wird die Aktion abgebrochen.

Wird ein Repository-Server mit UCS 3.1-x betrieben, muß dieser auf UCS 3.2 aktualisiert werden, bevor weitere Systeme auf UCS 3.2-1 oder neuer aktualisiert werden können.

Wenn ein Update des Repository-Servers nicht möglich ist, müssen die Signaturdateien manuell heruntergeladen werden:

LOCAL_DIR="/var/lib/univention-repository/mirror"
SERVER="http://updates.software-univention.de"
for release in 3.2-0 3.2-1 3.2-2 3.2-3 3.2-4; do
	for script in preup postup; do
		file="3.2/maintained/$release/all/$script.sh.gpg"
		wget -O "$LOCAL_DIR/$file" "$SERVER/$file"
	done
done

Alternativ kann die Prüfung der Signaturen auch deaktiviert werden, was ein Sicherheitsrisiko darstellen kann. Für den Repository-Server kann dazu die Univention Configuration Registry-Variable repository/mirror/verify auf false gesetzt werden. Für das Update muß auf allen Systemen die Univention Configuration Registry-Variable repository/online/verify auf false gesetzt werden.

Kapitel 5. Hinweise zum Einsatz einzelner Pakete

5.1. Erfassung von Nutzungsstatistiken bei Verwendung der Free-For-Personal-Use-VersionFeedback

Bei Verwendung der Free for personal use-Version von UCS (die in der Regel für Evaluationen von UCS herangezogen wird) werden anonyme Nutzungsstatistiken zur Verwendung der Univention Management Console erzeugt. Die aufgerufenen Module werden dabei von einer Instanz des Web-Traffic-Analyse-Tools Piwik protokolliert. Dies ermöglicht es Univention die Entwicklung der Univention Management Console besser auf das Kundeninteresse zuzuschneiden und Usability-Verbesserungen vorzunehmen.

Diese Protokollierung erfolgt nur bei Verwendung der Free-for-Personal-Use-Lizenz. Der Lizenzstatus kann durch einen Klick auf das Zahnrad-Symbol in der rechten, oberen Ecke der Univention Management Console und die Auswahl von Lizenzinformationen geprüft werden. Steht hier unter Lizenztyp Free for personal use edition wird eine solche Version verwendet. Bei Einsatz einer regulären UCS-Lizenz wird keine Nutzungsstatistik gesammelt.

Die Protokollierung kann unabhängig von der verwendeten Lizenz durch Setzen der Univention Configuration Registry-Variable umc/web/piwik auf false deaktiviert werden.

5.2. UEFI-Installations-DVDFeedback

Für die Architektur amd64 steht neben der Standard-Installations-DVD auch ein Medium mit Unterstützung für den Unified Extensible Firmware Interface-Standard (UEFI) bereit.

Auf Systemen, die nur einen UEFI-Start unterstützen, muss die UEFI-Installations-DVD anstelle der Standard-DVD verwendet werden.

5.3. Umfang des Sicherheits-Supports von Webkit, Konqueror und QtWebKitFeedback

Webkit, Konqueror und QtWebkit werden in UCS im maintained-Zweig des Repositorys mitgeliefert, aber nicht durch Sicherheits-Updates unterstützt. Webkit wird vor allem für die Darstellung von HTML-Hilfeseiten u.ä. verwendet. Als Web-Browser sollte Firefox eingesetzt werden.

5.4. Empfohlene Browser für den Zugriff auf die Univention Management ConsoleFeedback

Univention Management Console verwendet für die Darstellung der Web-Oberfläche zahlreiche JavaScript- und CSS-Funktionen. Cookies müssen im Browser zugelassen sein. Die folgenden Browser werden empfohlen:

  • Chrome ab Version 14

  • Firefox ab Version 10

  • Internet Explorer ab Version 9

  • Safari (auf dem iPad 2)

Auf älteren Browsern können Darstellungs- oder Performanceprobleme auftreten.

5.5. Einschränkungen im Samba 4-BetriebFeedback

In Samba 4 stehen einige Active-Directory-Funktionen noch nicht vollständig zur Verfügung:

  • Microsoft Windows Domänencontroller dürfen aktuell nicht in eine Samba 4-Domäne beitreten.

  • Eine selektive Replikation ist mit Samba 4 nicht möglich, da diese durch Active Directory prinzipiell nicht unterstützt wird (in UCS@school basiert die selektive Replikation auf der Listener/Notifier-Replikation).

  • Samba 4 unterstützt aktuell keine Forest-Domänen.

  • Samba 4 unterstützt aktuell keine Vertrauensstellungen.

Weitere Hinweise finden sich in Kapitel 8 des [ucs-handbuch].

5.6. Installation in VirtualBoxFeedback

Bei der Installation von UCS in der Virtualisierungslösung VirtualBox vor Version 4.2 kann folgender VirtualBox-Bug auftreten: Wenn von der Installations-DVD gebootet wird, bietet GRUB die Option Boot from first harddisk partition an. Wählt man diese Option aus, friert VirtualBox ein.

Als Workaround muß vor dem Neustart der UCS-VM entweder die Installations-DVD aus den Laufwerkseinstellungen der VirtualBox-VM entfernt werden oder beim Start der virtuellen Instanz F12 gedrückt und die Festplatte als Bootpartition ausgewählt werden. UCS startet danach dann problemlos.

5.7. Installation in Citrix XenServerFeedback

Bei der Installation von UCS in der Virtualisierungslösung Citrix XenServer 6.0 - 6.2 wird mit der standardmässig emulierten Cirrus-Grafikkarte das GRUB-Menü des Univention Installers nicht angezeigt. Der Univention Installer kann durch Drücken der ENTER-Taste direkt gestartet werden; alternativ startet die Installation automatisch nach sechzig Sekunden. Der dann gestartete Univention Installer wird normal dargestellt.

Um GRUB korrekt darzustellen, kann die von XenServer emulierte Grafikkarte umkonfiguriert werden. Dazu muss eine Anmeldung als Benutzer root auf dem XenServer-System folgen. Mit dem Befehl xe vm-list muss zuerst die UUID der virtuellen Maschine ermittelt werden. Mit dem folgenden Befehl wird dann die emulierte Grafikkarte auf VGA umkonfiguriert:

xe vm-param-set uuid=UUIDVM platform:vga=std

5.8. Migration einer Samba 3-Umgebung auf Samba 4Feedback

Es existieren zwei grundlegende Verfahren zur Migration von Samba 3 auf Samba 4:

  • Aufbau einer parallelen Samba 4-Domäne. Beide Domänen verwenden unterschiedliche NetBIOS-Namen und SIDs. Die Clients treten dann schrittweise der Samba 4-Domäne bei.

  • Migration aller Systeme innerhalb eines Wartungsfensters.

Beide Verfahren sind im Univention Wiki ausführlich dokumentiert: http://wiki.univention.de/index.php?title=Migration_from_Samba_3_to_Samba_4.

5.9. XenFeedback

Wenn der Xen Hypervisor benutzt wird und das Speicherlimit über die Univention Configuration Registry-Variable grub/xenhopt begrenzt wurde, sollte der Wert aktualisiert und um die ,max:-Angabe erweitert werden. Weitere Details finden sich unter http://wiki.univention.de/index.php?title=UVMM_Quickstart-3.1#Konfiguration_der_Dom0.

Kapitel 6. Changelog

Die Changelogs mit den detaillierten Änderungsinformationen werden nur in Englisch gepflegt. Aufgeführt sind die Änderungen seit UCS 3.2-3:

6.1. GeneralFeedback

All security updates issued for UCS 3.2-3 are included:
  • Package apt CVE-2014-0487 CVE-2014-0488 CVE-2014-0489 CVE-2014-6273 (Bug 35948, Bug 35986, Bug 36277).
  • Package bash: CVE-2014-6271 CVE-2014-7169 CVE-2014-7186 CVE-2014-7187 (Bug 35992, Bug 36008).
  • Package curl: CVE-2014-3613 (Bug 35874).
  • Package firefox-de: CVE-2014-1547 CVE-2014-1555 CVE-2014-1556 CVE-2014-1557 CVE-2014-1544 CVE-2014-1562 CVE-2014-1567 CVE-2014-1568 CVE-2014-1574 CVE-2014-1576 CVE-2014-1577 CVE-2014-1578 CVE-2014-1581 CVE-2014-1585 CVE-2014-1586 CVE-2014-1583 (Bug 35807, Bug 35993, Bug 36175).
  • Package firefox-en: CVE-2014-1547 CVE-2014-1555 CVE-2014-1556 CVE-2014-1557 CVE-2014-1544 CVE-2014-1562 CVE-2014-1567 CVE-2014-1568 CVE-2014-1574 CVE-2014-1576 CVE-2014-1577 CVE-2014-1578 CVE-2014-1581 CVE-2014-1585 CVE-2014-1586 CVE-2014-1583 (Bug 35807, Bug 35993, Bug 36175).
  • Package lua50: CVE-2014-5461 (Bug 35770).
  • Package lua5.1: CVE-2014-5461 (Bug 35771).
  • Package poppler: CVE-2010-5110 (Bug 33265).
  • Package procmail: CVE-2014-3618 (Bug 35817).
  • Package squid3: CVE-2014-3609 (Bug 35732).
  • Package xen-4.1: CVE-2013-4368 CVE-2014-1950 CVE-2014-2599 CVE-2014-3124 CVE-2014-4021 CVE-2014-7154 CVE-2014-7155 CVE-2014-7156 CVE-2014-7188 (Bug 34115).

6.2. Univention UpdaterFeedback

  • The HTTP HEAD query of the updater now also transfers the component installation status (Bug 35645).
  • The tool univention-repository-create has been updated and is now able to handle UCS-4 DVDs (Bug 36269).
  • The updater package is now limited to Python 2.6 (Bug 34781).
  • The postup.sh script was adapted to the univention-check-templates return codes (Bug 34972).

6.3. Basic system servicesFeedback

6.3.1. Linux kernel and firmware packagesFeedback

  • An overflow in the KVM time handling code prevented the start of a VM. This has been fixed (Bug 35808).
  • In some situations the Xen netback driver caused an OOPS and prevented any VM from accessing the network. This has been fixed (Bug 35826).

6.3.2. Univention Configuration RegistryFeedback

  • Skip writing of internal cache during configHandlers.load() if the process has no write permission (Bug 35368).
  • univention-check-templates has been fixed to correctly handle conffiles with spaces (Bug 35202).

6.4. Domain servicesFeedback

6.4.1. Univention Directory ManagerFeedback

  • The modification of the alternative mail address is now allowed in AD member mode (Bug 35672).
  • The syntax for group names has been adapted. The default group names of a French Active Directory are allowed now (Bug 35521).
  • A traceback has been fixed if more than one colon is set in the automountInformation attribute (Bug 34541).
  • The setting of the Kerberos principal name for computer/macos objects have been fixed (Bug 35526).
  • A backslash in the home share path value of a user no longer results in a traceback (Bug 35953).

6.4.2. OpenLDAPFeedback

6.4.2.1. Listener/Notifier domain replicationFeedback

  • The notifier join script now waits for the first initialization of the listener on a DC master. This avoids a race condition during the DC master installation (Bug 35723).
  • A replication issue has been fixed which could occur when joining a UCS DC into a domain which had the memberof LDAP overlay active at some point and later deactivated it (Bug 35480).
  • Locking and signal handling of the univention-directory-listener has been improved (Bug 34013).
  • Schema replication needs to filter out new operational (i.e. builtin) LDAP attributes which will be activated in UCS 4.0 (Bug 36113).
  • Object replication needs to filter out operational ppolicy LDAP attributes which may be found on a UCS 4.0 master (Bug 36353).

6.4.3. JoinFeedback

  • univention-join no longer overwrites the join.log on DC slave (Bug 34909).

6.5. Univention Management ConsoleFeedback

6.5.1. Univention Management Console web interfaceFeedback

  • If an email address is given during the system setup, the startup wizard won't ask for an activation address. This prevents a possible double registration (Bug 35711).

6.5.2. Univention Management Console serverFeedback

  • Some displaying issues in UMC related to the new AD member mode have been fixed (Bug 35610).
  • The handling of connections between the UMC parts has been improved. Faulty connections will be closed and if the connection between UMC server and UMC module dies, the UMC module shuts down immediately (Bug 32818).
  • The broken timer handling in the qt backend of python-notifier has been fixed. This problem could lead e.g. to never stopping UMC modules (Bug 36472).

6.5.3. Basic settings / Appliance modeFeedback

  • After deactivating DHCP in the appliance wizard and switching to manual network configuration, the network interface remained in DHCP mode and ignored the static network configuration. This issue has been fixed (Bug 35601).
  • Fixed suggestion of FQDN build from value entered in the organization field in appliance mode (Bug 34090).
  • Moved setup of apache startsite on EC2 to an earlier stage in the boot process (Bug 35587).
  • Do not show Firefox data submission policy popup during system setup (Bug 35721).
  • The Windows NETBIOS domain name can now be up to 15 characters long (Bug 35605).
  • Problems with reloading values and displaying messages after saving changes have been corrected (Bug 35599).
  • The UMC now warns the user if DHCP is selected but a link-local IP address is used. This can occur if DHCP is preconfigured but no DHCP lease could be obtained (Bug 35815).

6.5.4. Users moduleFeedback

  • In AD member mode users and clients synchronized from Active Directory are now ignored in the license count (Bug 35647).
  • Failures on report creation can not block UMC usage anymore (Bug 34333).
  • Long base DNs in license files are now handled correctly (Bug 35580).
  • A possible double registration is now prevented by a new ucr variable (Bug 35711).

6.6. Software deploymentFeedback

6.6.1. Software monitorFeedback

  • A traceback in the pkgdb listener has been fixed (Bug 35367).

6.7. Univention LibraryFeedback

  • The AD member setup does now ignore the spelling of the domain name (Bug 35757).
  • The python module atjobs is now EINTR-safe, i.e., for interrupted function call signals (Bug 31319).
  • This update fixes a problem with reading progress report lines from 'dpkg' while installing Apps, which lead to the installation getting stuck (Bug 35729).

6.8. System servicesFeedback

6.8.1. Mail servicesFeedback

  • The listener module hosteddomains.py has been moved from univention-mail-server to univention-mail-postfix (Bug 35232).
  • Several UCR variables have been added to univention-mail-postfix to allow better configuration of postfix's perfect forward secrecy. (for detailed description please see -> ucr search variable_name).
    • mail/postfix/smtpd/tls/dh1024/param/file
    • mail/postfix/smtpd/tls/dh512/param/file
    • mail/postfix/smtpd/tls/loglevel
    • mail/postfix/smtp/tls/loglevel
    • mail/postfix/cron/recreate/dh/parameter
    During installation of this update univention-mail-postfix creates a set of DH parameter files for EDH ciphers to use instead of the built-in parameters. Also, a cronjob /etc/cron.d/univention-mail-postfix has been added to weekly recreate the DH parameter files (creating/recreating these parameter files can take a while, depending on the quality of the systems random source) (Bug 35923).

6.8.2. Printing servicesFeedback

  • Assigning a Windows printer driver to a Samba print share renamed the share to the name of the printer driver which may be confusing and could trigger a Windows error message (code 0x0000007a). Test page printing would fail in this case. Now the UCS management tools create Samba printer shares with the option force printername which is provided by Samba as a workaround for this issue. The option get's set while creating new or modifying existing printer shares. The new default can be reverted by settings the UCR variable samba/force_printername to no or false. The following command can be run once on each UCS print server to set the option for all print shares hosted locally: univention-directory-listener-ctrl resync cups-printers (Bug 33505).

6.8.3. NagiosFeedback

  • This update corrects problems in the apache configuration due to a dead symlink during the package installation process. In specific setups this could have led to installation errors (Bug 35078).

6.8.4. SSLFeedback

  • The default hash function has been changed to sha256. This is configurable via the UCR variable ssl/default/hashfunction (Bug 35836).
  • The default key size has been changed to 2048 bits. This is configurable via the UCR variable ssl/default/bits (Bug 30545).

6.8.5. Proxy servicesFeedback

  • The UCR variable squid/forwardedfor has been added to configure Squid's forwarded_for configuration directive (Bug 34025).
  • The update for squid3 to fix CVE-2014-3609 erroneously removed SSL support. This update restores the SSL functionality (Bug 35980).

6.8.6. PAM / Local group cacheFeedback

  • The UCR default for the security limit max open files has been fixed (now 32768) (Bug 35362).

6.8.7. Other servicesFeedback

  • This update disables the insecure protocols SSL 2.0 and SSL 3.0 for the Apache Webserver. It is possible to override this by setting the UCR variable apache2/ssl/v2 and/or apache2/ssl/v3 to "true" before or after the update (Bug 36173).
  • This update fixes RADIUS access for clients in Samba AD domains (Bug 35516).

6.9. VirtualisationFeedback

6.9.1. XenFeedback

  • The code signing certificate for the GPLPV drivers expired and has been replaced with a new certificate valid until 10.10.2017. The new driver version is 0.11.0.373 (Bug 35849).

6.10. Services for WindowsFeedback

6.10.1. SambaFeedback

  • All winbind processes are stopped correctly during samba4 join in 96univention-samba4.inst (Bug 35600).
  • The backup script univention-samba4-backup now ignores the tar file changed as we read its warning (Bug 35392).
  • When installing broken printdrivers, samba returned a wrong error code (access denied). This has been fixed (Bug 32771).
  • A bug has been fixed which could prevent a takeover of Windows 2012 servers with enabled recycle bin (Bug 35443).
  • The main samba (not smbd) processes have been restricted to 1024 open files. Now they use the value configured in the UCR variable samba/max_open_files (Bug 34514).
  • A smbd crash on filenames with non-ascii characters has been fixed (Bug 36162).

6.10.2. Univention AD TakeoverFeedback

  • When running AD takeover out of AD member mode it's necessary to flush samba caches to steer clear of IDMAP issues (Bug 35564).
  • If the spelling case of the domain name differs between AD and UCS the GPO check failed. This get's fixed now by renaming the domain specific directory in the sysvol share (Bug 35769).

6.10.3. Univention S4 ConnectorFeedback

  • A traceback due to an undefined variable in the password synchronization module has been fixed (Bug 33263).
  • The SID synchronization from OpenLDAP to Samba 4 has been fixed. This is used in UCS@school environments (Bug 35626).
  • A locking table has been added to the S4 connector which is used to avoid the synchronisation of incomplete objects (Bug 35391).
  • A synchronization error for the telephone number has been fixed (Bug 31172).
  • The inital group membership sync has been fixed if the group exists on both sides and the group members are different (Bug 33319).
  • Objects which are deleted in Samba 4 are now recursively removed in OpenLDAP (Bug 27290).
  • The sync_mode is now being checked in the post modify membership update functions (Bug 35251).
  • The S4 connector doesn't no longer delete the OpenLDAP domain controller object if the deleted Samba 4 object was a Windows computer (Bug 35563).

6.10.4. Univention Active Directory ConnectorFeedback

  • A couple of messages have been improved in the UMC wizard (Bug 35602).
  • The determination of the Active Directory language has been fixed. This is needed for the group name mapping (Bug 35572).
  • The password synchronization can now be disabled by setting the UCR variable 'connector/ad/mapping/user/password/disabled' to 'true' (Bug 35895).
  • A connection traceback has been fixed in the AD member mode wizard (Bug 35701).

Literaturverzeichnis

[ucs-handbuch] Univention GmbH. 2014. Univention Corporate Server - Manual for users and administrators. http://docs.univention.de/manual-3.2.html.