Dotaz: Novy db/web/mail server s nvme SSD

[Adminnn]

Dobry den,
chcem sa spytat, chceme do konca roka kupit novy db/web/mail server a chceli by sme do neho dat 2 x NVME SSD 512GB v RAID1 + cryptsetup na to (Debian Linux) a aspon 32 - 64GB RAM. Znackove servre s NVME ssd som nenasiel, preto by sme chceli ist do skladacky. Chcem sa spytat aky HW by ste odporucali co sa tyka CPU a hlavne dosky a RAM. Ide nam o co najlepsie odozvy systemu cca 50 uzivatelov sucasne (zalohy sa budu robit cez disk image na NASko). Dakujem za vsetky tipy, postrehy a skusenosti.

Odpovědi

[ZS-Man]

Zdravím, s konkrétním HW neporadim, NVME by u značkových serveru určité neměl byt problém. Třeba http://www.abacus.cz/default.asp?action=setcursetlng&lngid=2&curid=0&show=configsearch&cocidlist=36,37,38,136,137&searchtype=1

[Max]

Značkové servery s NVMe se dělají, viz např. Supermicro.
Zdar Max
PS: kdyby šlo o skládačku, tak bych šel asi do něčeho s Epycem + desku, co má nějaký druh KVM. Jinými slovy, asi bych skončil taktéž se Supermicro

[Max]

Resp. Supermicro + EPYC + NVMe.
Zdar Max

[R]

cryptsetup? To akoze naco - hrozi, ze server (alebo disky z neho) niekto fyzicky ukradne?

Ak tam nebudu velke databazy, tak by som sa na NVME vysral. Mame 320 mailovych schranok na serveri so 600GB 15K SAS diskami (6 ks v HW RAID1). Momentalne je tam asi 1 TB mailov. Server Dell PowerEdge R730.

Zalohy "cez disk image" je nezmysel. Zalohy sa robia nejakym zalohovacim systemom (napr. Bacula/Bareos), ktory vyriesi inkrementalne zalohovanie a hlavne obnovu zo zalohy (napr. ked si niekto vymaze mailbox).

[Adminnn]

cryptsetup koli GDPR :( Databazy do cca 100GB vsetky + asi 100-150GB mailov + asi 10GB stranky

[lertimir]

Připadá jen mě, že s GDPR se všichni zbláznili? Jak souvisí GDPR s šifrováním disku? Šifrování médií má primárně smysl v případě, že nejsem schopen zabránit, aby někdo neoprávněný měl fyzický přístup k médiu a oprávněnou obavu, že by měl zájem tento přístup neoprávněně využít. Což v profesionálním prostředí je dost nepředstavitelné. Základní bezpečnost se řeší fyzickou bezpečností servrovny, a odrazení neoprávněného zájmu pro pracovníky s oprávněním vstupu smluvně.

[R]

Presne tak, je to uplny nezmysel. Namountovany sifrovany filesystem sa predsa sprava uplne rovnako ako nesifrovany, takze ked je server zapnuty, nechrani vobec nic. A servery byvaju zapnute nepretrzite.

[Jendа]

Nechrání to proti vyhackování po síti a nasledném zkopírování klíčů a dat, ale chrání to přiměřeně proti fyzickému sebrání - nestačí si to odnést, musíš dělat cold boot útok (který se na moderních pamětech dělá blbě, protože mají malé buňky a i při ochlazení rychle zapomínají), leakování paměti přes interní sběrnice typu PCIe (které může selhat kvůli implementačním detailům desky nebo nastavení IOMMU, navíc server může být fyzicky složité za běhu otevřít a připojit se dovnitř), nebo musíš server vypnout, backdoornout /boot, a doufat, že si toho nikdo nevšimne a disk odemkne.

A proč to dělat? Nevíme, jestli to není nějaká menší firma, která nemá na to mít speciální zabezpečenou místnost kvůli serveru pokud možno napojenou na PCO, nemá to v nějakém obyčejném veřejném serverhousingu (kde se na to sice přijde, ale tou dobou už bude pozdě), nebo se nesnaží bránit proti nějakému zakleknutí.

[lertimir]

Ale to v podstatě s GDPR nesouvisí, to nespecifikuje obranu proti "zakleknutí". Naopak, je to forma takového "zakleknutí" a musíš procesně dokazovat, že máš funkční ochranu. A pokud ti někdo server ukradne tak pravděpodobně ukradne i písemnosti, jsou-li ve stejném objektu, a ÚOOZ budeš stejně muset vysvětlovat bezpečnostní incident.

[Jendа]

Nebo to SSD odejde tak, že se přepne do read-only módu, a ty ho chceš reklamovat.

[MP]

Jsme na to stejne, museli jsme zacit nasazovat cryptsetup (nejradeji bych to nakopal nekam). Ale neni to zcela kvuli gdpr, ale i kvuli pozadavku zakazniku... (ze to ohrozuje clustery a vyrazne snizuje vykon, je vec mizerna).

[Adminnn]

A my pre cryptsetup ideme do NVME...

[MP]

Tak na to bacha. Mame 4xSAS 12Gbps SSD v R10 a vykon toho pole je takovy, ze ho Xeon Gold 6136 3GHz srazi o 30% pri LUKSu :( Sifrujeme cely disk a 1 core je na 100% pri tomto testu.

[Max]

Nepodporuje náhodou multithread? Nebo to není standardně zapnutý / stabilní?
díky za info
Zdar Max

[MP]

Mel by, aspon co jsem dohledal na archu. Ale jak zjistit, zda pouziva to ci tamto, to uz se dohledava slozite.

Kolega ma slusne Micron SATA SSD na hw raidu (3102?) a Supermicru WIO X10 s Proxmoxem, propad vykonu temer v rozsahu chyby mereni.

Muj Dell s tema SAS a Proxmoxem stejne verze propad 30%.

Ja nasazoval na Ultru X10 Megaraid 94610-16i na deb9 s 4.16 backport kernelem, v read a write only testech propad minimalni, ale v readwrite propad 80%...

Je to nejak nekonzistentni...

[romanch]

Používáme v serverech INTEL SSD NVMe DC P3100 v redukci PCIe (třeba compuny.cz)

Repas servery HP Gen8 - třeba 2x Xeon E5-2430, 32GB RAM, cca 600 EUR

R.

Práci čest soudruzi IT :)

[dustin]

Jo, to dává smysl.