Dotaz: Vlastní serverovna nebo serverhousing

[Jiří Novák]

Jsme obchodní firma, která má asi sto zástupců po celé ČR. Potřebujeme pro ně zajistit mailový server, extranet + firemní IS založený na webservices. Máme dvě možnosti:

1. Vlastní serverovna Umístit servery do prostor firmy, problém s připojením na Internet (máme pouze bezdrátové spojení 6Mb download / 6Mb upload, nemožnost připojení přes optiku nebo metaliku), nutnost zajistit UPS a dieselagregát, klimatizaci, hašení, kamerový dohled, zapezpečovací systém. Výhodou je že servery i data by jsme měli "pod dohledem".

2. Serverhousing Umístit servery s daty do serverhostingu, problém s komplikovanější údržbou serverů, zabezpečením dat. Výhodou je lepší konektivita, zabezpečení před delšími výpadky el. proudu.

V obou případech by byly servery za hw firewallem. Připojení přímo k databázi, SSH apod pouze přes VPN. Jinak by byly dostupné pouze porty 80 (http), 443 (https), 25 (smtp), 110 (pop3), 143 (imap), 993 (imaps), 995 (pop3s) a 9009 (webservices). Zálohování dat by v obou případech probíhalo na jiný server, umístěný na jiné místo než produkční servery.

Zajímal by mně váš názor na obě varianty. Jaké pro a proti mají obě varianty ? Svěřili by jste data o vaší firmě do serverhousingu ?

Děkuji George

Odpovědi

[NN]

Poridit si dieselagregat,kamerovy sytem, haseni, to asi myslite jako vtip..

NN

[Jiří Novák]

To není vtip, pokud by v dané lokalitě byla lepší konektivita za rozumnou cenu, těch stopadesát tisíc za dieselagregát by se vyplatilo. Kamerový systém, klimatizaci a zabezpečení už stejně máme.

[dik]

pro Vás je vhodná služba rackhousing. Budování vlastní serverovny je blbost ,teda pokud nepočítáte s dramatickým nárůstem počtu serverů. Jak posléze zjistíte ,tak důvody typu "mít servery pod dohledem" nejsou až tak důležité ,teda pokdu nejste banka atd.. což asi nejste Kvalitní diesel agredát za 150k nepořídíte ,za klimatizaci taky zaplatíte nemalé peníze ,co nájem prostor,cena energie jde pořád nahoru ... atd atd atd. ps: vlastní zkušenost. Dík

[none]

Pratelska rada; mezery delame za carkou, nikoliv pred ni. Dve tecky (..) ve smyslu neukonceneho rozvoje vety neexistuji, pouzivaji se tri tecky pred ktere se neumistuje mezera.

Bye.

[dik]

tak teda dik. dik

[Luboš Doležel (Doli)]

6 Mbit/s je v současnosti dobré na domácí brouzdání, servery bych tam nestrkal. Volil bych umístění serverů do housu. Jinak SSH za VPN mi přijde hloupé.

Každopádně i kdybyste se rozhodli pro umístění ve firmě, opravdu není nikde kolem optika? Ani ČDT?

[vdusek]

Proč to budete super zabezpečovat (firewall, SSH over VPN), když tam máte otevřené nešifrované 110 (pop3), 143 (imap)?

Pokud máte blízko do nějakého telehouse, tak to určitě dejte tam. Ale začal bych budovat vlastní serverovnu...

[tuxmartin]

Presne tak. Jak je napsano v dotazu:

Připojení přímo k databázi, SSH apod pouze přes VPN. Jinak by byly dostupné pouze porty 80 (http), 443 (https), 25 (smtp), 110 (pop3), 143 (imap), 993 (imaps), 995 (pop3s) a 9009 (webservices).

Taky me nejak unika smysl. SSH, ktere je uz samo sifrovane prozenou pres VPN a pop3 a smtp nechaji nesifrovane otevrene do Internetu?

Zacal bych minimalne tim, ze bych na pop3 a smtp dal SSL.

btw, porad nechapu SSH pres VPN

[Jendа]

btw, porad nechapu SSH pres VPN

Přece aby když chcípne VPN, tak se tam nešlo přes SSH připojit a opravit to .

Ještě by mohl zakázat přihlašování na roota, přesunout služby na nesmyslné porty a vynucovat změnu hesla každý měsíc.

[Sten]

Může tam být nastaveno, že vyžaduje TLS (STARTTLS), jinak všechny příkazy odmítne

[Filip Jirsák]

Jednoznačně bych volit serverhousing, případně některou z variant – pronájem serverů či virtuálních serverů. S jedním nebo několika málo vlastními servery se vám nikdy nemůže vyplatit investovat tolik, abyste dosáhl na úroveň služeb poskytovaných nějakým telehouse – vícenásobná a rychlá konektivita, záložní napájení a vícenásobné připojení k elektrické distribuční soustavě… Pokud zvolíte formu pronájmu HW, nemusíte se starat ani o to. V případě HW výpadku budete mít nový HW k dispozici nejspíš mnohem rychleji, než byste vy objednal náhradní díly od dodavatele – poskytovatel si může dovolit držet skladem víc náhradních dílů, než vy. Síťová bezpečnost je v obou případech stejná, takže zbývá jediné riziko, že by vám poskytovatel fyzicky vlezl do serveru. To je velmi nepravděpodobné, protože by to bylo to poslední, co by v téhle branži udělal – můžete se pojistit i proti tomu, data na discích mít šifrovaná a počítat s tím, že v případě restartu bude muset nějaký váš správce zadat šifrovací klíč (klidně i vzdáleně).

[Sten]

Zadávání šifrovacího klíče není bezpečné, a pokud je provedeno vzdáleně (nebo na půjčené klávesnici), jako kdybyste tam nic neměl. Jediná bezpečná cesta pro správného paranoika by byl zapečetěný počítač a startovací flash disk (ale ani to vás nemusí ochránit před cold boot attackem).

[Filip Jirsák]

Proti tomu, že si někdo ten harddisk prostě vezme a odnese, to je bezpečné dost. Není to zabezpečené proti tomu, že vám vypnou server, vymění OS, a nechají zadat heslo. Ovšem tak cenná data tam asi nebudou, to by i ta vlastní serverovna musela být jinak zabezpečena.

[Jirka]

zdravim,

asi bych zkombinoval oboji. Server do server housingu s aplikaci a pristupem pro cestaky a server v kancelari pro lidi pracujici v kanclu. A mezi obema dvema nastavil replikaci/zrcadleni.

Jirka

[Igor]

Normalne si prenajmite virtualny server. HW, napajanie, backupy riesia oni. Vy si vyberiete OS aky potrebujete a zvysne sluzby si doinstalujete. Ak budete mat nedostatok pamate tak to spravia za jazdy, to iste aj disky a pod.

Co sa tyka bezpecnosti dat,pochybujem o tom ,ze nejakych spravcov zaujima co mate Vy na serveri. To by nic ine nerobili len chodili po diskoch.

Ja by som na Vasom mieste vsetko robil cez VPN-ku. Vsetky sluzby by boli pristupne jedine cez VPN.

Mam to nasadene v dvoch firmach a kazdy obchodak ma nainstalovany VPN Client. Riesim to cez Open VPN. Pripoji sa kdekolvek a kedykolvek do VPN-ky a moze pracovat.