Linux & Windows SBS 2003 servers mergen

[-Elmer-]

De huidige situatie is als volgt:

Een kennis van me heeft een computerbedrijfje waar dagelijks computers worden gerepareerd. Omdat de computers die worden gerepareerd van klanten zijn (en dus wel eens vol virussen willen staan) is het uitermate onwenselijk dat deze op hetzelfde netwerk komen waar ook de bedrijfcomputers in hangen. Om ervoor te zorgen dat de boel goed gescheiden blijft draait er een linux server waar een router/firewall/virusscanner/transparante proxy server op is geinstalleerd. (Deze laatste om ervoor te zorgen dat het Windows updaten een stuk sneller gaat en het 'transparante' is er zodat er op de klantencomputers niet hoeft te worden ingesteld) In deze server zijn 3 netwerkkaarten geinstalleed. 1 netwerkaart dient voor het WAN gedeelte, 1 netwerkkaart voor het 'beveiligde' LAN en de andere netwerkkaart voor het 'extreem beveiligde LAN'. Deze twee verschillende LAN poorten zijn er zodat als van te voren al bekend is dat een computer erg vervuild is deze andere computer van andere klanten niet kan vervuilen. Op deze extra beveiligde poort staat alleen poort 80 staat open en er zijn maar enkele websites op te vragen (MS, AMD, Intel, Asus etc...). Op deze manier wordt verzenden van spam onmogelijk en kunnen virussen eigenlijk ook helemaal niet meer naar buiten.

Nu is er ook nog een bedrijfnetwerk, hieruop zijn een aantal computers aangesloten en draait er een Windows SBS 2003 Premium server die als fileserver/WSUS/router & firewall dient.

Schema huidige situatie (op Imageshack)

Het nadeel van de huidige configuratie is dat het energieverbruik hoger is dan noodzakelijk. Nu heb ik lopen nadenken en ben op de volgende configuratie gekomen

Mogelijke nieuwe configuratie

1 server met Windows SBS 2003 Premium met daarop een virtuele Linux server die de oude Linux server vervangt. Er moeten in deze nieuwe server dan 5 netwerkkaarten komen en er zal flink gestoeid moeten worden met NAT.
Nu moet het natuurlijk wél zo zijn dat bedrijfsnetwerkverkeer & klantencomputersnetwerkverkeer niet door elkaar komen, om die reden heb ik ervoor gekozen om twee WAN kaarten te nemen (er is een modem/router met 2 LAN poorten die adressen uitdelen in verschillende ranges/subnets)

Schema mogelijk nieuwe situatie (op Imageshack)

Nu vraag ik me af of deze nieuwe uitbedachte configuratie wel zo handig is en of er geen mooiere mogelijkheid is te bedenken. Is in Windows SBS het verkeer tussen de 3 LAN en twee WAN poorten echt 100% te scheiden?

De mooiste optie is natuurlijk gewoon één Linux server, daar gaat míjn voorkeur ook naar uit maar degene die de server moet beheren snapt helemaal niets van Linux en wil perse een Windows Server....

[Jazzy]

Nee, dat gaat niet werken. SBS 2003 is geschikt voor 1 of voor 2 netwerkadapters.

Eerlijk gezegd denk ik dat het nu het meest optimaal geregeld is, die paar tientjes stroomverbruik per jaar wegen niet op tegen de ellende die je je op de hals haalt om het om te gooien. Ik vind het een hele nette scheiding van de 2 netwerken zo.

[lordgandalf]

Ik zou er niks aan veranderen.
De scheiding is maximaal.
En je voorkomt dat door 1 instelling je je bedrijfsgegevens bereikbaar worden op je klantennetwerk

[sanfranjake]

Jazzy schreef op zaterdag 04 oktober 2008 @ 19:50:
Nee, dat gaat niet werken. SBS 2003 is geschikt voor 1 of voor 2 netwerkadapters.

Waarom zou dat niet werken? Ik heb ook klanten met SBS'jes en 3/4 netwerkkaarten hoor Dat het niet ondersteund wordt weet ik, maar in de praktijk werkt het prima (de CEICW negeert de extra netwerkkaarten).

[Jazzy]

sanfranjake schreef op zondag 05 oktober 2008 @ 12:20:
[...]

Waarom zou dat niet werken? Ik heb ook klanten met SBS'jes en 3/4 netwerkkaarten hoor Dat het niet ondersteund wordt weet ik, maar in de praktijk werkt het prima (de CEICW negeert de extra netwerkkaarten).

Dan heb je toch echt mazzel gehad. Ik zie geregeld issues voorbijkomen waarbij de configuratie serieus in de war is door extra netwerkkaarten. Vooral veel problemen met RAS en de CEICW. Ik zou het in ieder geval ten zeerste afraden.

[-Elmer-]

De huidige configuratie heb ik zelf ook zo samengesteld maar aangezien beide servers zich over het algemeen redelijk aan het vervelen zijn en gezien de huidige energieprijzen leek het me wellicht handig om te combineren. Uit jullie reacties te horen lijkt het me inderdaad het verstandigst om lekker zo te houden. Wellicht kunnen beide servers dan worden vervangen door wat nieuwere en energiezuinigere types en is de gewenste stroombesparing hiermee ook bereikt.

Er is echter nog één klein punt waar ik graag verandering in zou zien en dat betreft het feit dat de reparatie pc's in het beveiligde klantennetwerk nog in staat zijn met elkaar te praten. Dat wil ik eigenlijk voorkomen. Volgens mij is de enige oplossing dan een hele rits extra netwerkkaaten in de linux router te bouwen. Klopt dat? Of zijn er toch nog andere mogelijkheden? Een ander subnetmasker zou mooi zijn maar ja, hij moet ook nog wél met de server kunnen blijven praten...

Overiges:
Momenteel heb ik zelf ook een SBS 2003 draaien met zelfs 5 netwerkkaaten. Officieel wordt het niet ondersteund maar ja, het werkt wel. Ik wist niet dat het echt zo'n rommeltje kon worden als er meer dan 2 netwerkkaarten in hangen, goed om te weten

[alt-92]

-Elmer- schreef op zondag 05 oktober 2008 @ 15:25:
Er is echter nog één klein punt waar ik graag verandering in zou zien en dat betreft het feit dat de reparatie pc's in het beveiligde klantennetwerk nog in staat zijn met elkaar te praten. Dat wil ik eigenlijk voorkomen.

Dat zou je kunnen ondervangen door elke poort op een degelijke switch in z'n eigen VLAN te zetten, maar aangezien je met (onbekende) clientPC's zit opgescheept zal dat wel een lastig verhaal worden.
Niet elke kaart gaat om met VLAN tagging - dan hou je port-based VLAN over en zoveel VLANs aanmaken als er poorten zijn? Ik weet niet welke switches dat doen.

(IPsec policies zou een andere oplossing zijn, maar ja, geen domain he...)

[PROnline]

Managed switch met accesslist per poort lijkt me een prima oplossing om de pc's van elkaar te scheiden. Elke poort mag alleen babbelen met de uplink/gateway.
Wat je vraagstuk betreft over vervangen van hardware om zuiniger uit te komen. Je investering weegt niet op tegen de besparing in verbruik in de meeste gevallen. Eventueel als (gebrek aan) garantie mee speelt, dan zou nieuwe hardware een optie kunnen zijn. Wat ik een beetje mis is de configuratie van de linux en windows SBS server.
Als die linux een veredelede P3/4 is, dan zie ik daar weinig winst in, want vervangen kost tijd en tijd is ook geld.
Als 't een dual Xeon Netburst is, dan ja, die mag dan wel vervangen worden door wat minder overkill aan hardware.

[DiedX]

Jazzy schreef op zaterdag 04 oktober 2008 @ 19:50:
Eerlijk gezegd denk ik dat het nu het meest optimaal geregeld is, die paar tientjes stroomverbruik per jaar wegen niet op tegen de ellende die je je op de hals haalt om het om te gooien. Ik vind het een hele nette scheiding van de 2 netwerken zo.

With ^^. Ik zie het probleem niet zo?

[tim427]

En als je die Linux en SBS bak nou virtuaal draait in een Hypervisort als VMware ESXi en MS Hyper-V (daar ben ik zelf een fan van )

Dan kun je wel meerdere netwerkkaarten gebruiken en toekennen aan je virtuele machines...

[AjDuLion]

DiedX schreef op zondag 05 oktober 2008 @ 16:43:
[...]

With ^^. Ik zie het probleem niet zo?

en ik ben het ook deels met hun eens je netwerk is zo optimaal beveiligd maar idd kost je een server extra

tim427 schreef op zondag 05 oktober 2008 @ 17:14:
En als je die Linux en SBS bak nou virtuaal draait in een Hypervisort als VMware ESXi en MS Hyper-V (daar ben ik zelf een fan van )

Dan kun je wel meerdere netwerkkaarten gebruiken en toekennen aan je virtuele machines...

dit is wat ik als tweakert zou doen draai een vmware/hyper V als host en daarop virtueel je sbs en linux bak

ik zou gewoon via acronis een backup maken van je hosts omzetten naar je virtual machine en dan in je andere machine hangen daar stop je de netwerkkaarten in die je wilt en klaar is kees.

maar voor een bedrijf zie ik het probleem niet om die paar extra tientjes per jaar te betalen voor de extra stroom kosten

[axis]

Weet inderdaad niet wat je nu hebt staan, maar qua infrastructuur ziet het er prima uit.

Je zou eventueel die linux firewall kunnen vervangen door een epia doosje, een oude p3 (30W), of een nieuwe hippe cisco asa router/firewall (20-30W).

En qua server, sja, een nieuwe Dell PowerEdge T300 met een enkele Xeon X33XX, 2 geheugenmodules en 2 schijven zou volgens dell rond de 120-150W moeten doen idle.. Kost rond de 1000 piek denk ik.

[AjDuLion]

vergeet ook niet dat je nu een redelijke fallback hebt als een van de 2 out gaat kan je altijd nog door op de een of andere manier als je virtuele bak onderuit gaat dan ben je goed zuur omdat je dan en geen internet meer hebt en geen files meer kan benaderen.

nu kan je dit wel dubbel gaan uitvoeren maar dan heb je weer 2 servers draaien en dat is nu net wat je juist niet wilt.

[-Elmer-]

De servers die draaien zijn echt niet zo heel nieuw, het zijn beide AMD Athlon 3200+'ers. Zeer acceptabel qua snelheid maar echt zuinig zijn ze niet. 100W verstoken ze gauw schat ik en dat is toch al zo'n 175,- euro per jaar per server. Gezien alle reaties en verstandige opmerkingen blijven het denk ik toch maar 2 servers.

De Linux server zou inderdaad door een Cisco vervangen kunnen worden maar wellicht ook wel door een mooie AMD Athlon 64 200+ icm. een 780G chipset. De scheelt zo'n 100,- euro per jaar aan energie en de aanschafprijs is nou ook niet echt hoog. (Helaas weet ik alleen echt niet waar ik die AMD 2000+ zou kunnen krijgen, een andere optie is natuurlijk een single core amd 64 terug te klokken)

[Jazzy]

Als je per jaar 100 euro wilt besparen dan is dat zakelijk gezien totaal niet interessant. Je moet namelijk onderdelen kopen, het kost je tijd om alles om te bouwen, je collega's drinken een extra bakje koffie omdat de server er even uit ligt, etc. Dan zou je al snel 4 jaar nodig hebben om dat rendabel te krijgen.

[AjDuLion]

-Elmer- schreef op dinsdag 07 oktober 2008 @ 11:27:
De servers die draaien zijn echt niet zo heel nieuw, het zijn beide AMD Athlon 3200+'ers. Zeer acceptabel qua snelheid maar echt zuinig zijn ze niet. 100W verstoken ze gauw schat ik en dat is toch al zo'n 175,- euro per jaar per server. Gezien alle reaties en verstandige opmerkingen blijven het denk ik toch maar 2 servers.

De Linux server zou inderdaad door een Cisco vervangen kunnen worden maar wellicht ook wel door een mooie AMD Athlon 64 200+ icm. een 780G chipset. De scheelt zo'n 100,- euro per jaar aan energie en de aanschafprijs is nou ook niet echt hoog. (Helaas weet ik alleen echt niet waar ik die AMD 2000+ zou kunnen krijgen, een andere optie is natuurlijk een single core amd 64 terug te klokken)

je zou die linux bak voor een asa5505 kunnen gooien en dan idd met vlans werken.

die routers/firewals werken ook op minder stroom.

evt kan je idd je hardware gaan downscalen en op zuinigere machine's zetten.
Begrijp het niet verkeerd ik snap het als een consument kant.

maar als bedrijfkant zou ik dit een perfecte oplossing vinden om het mooi te splitsen.

virtueel is mooi als je een goeie backup hebt (je zou natuurlijk ervoor zorgen dat je ene server backup word en je andere de nieuwe virtual server)

zorg voor een goeie backup zodat je als hij down gaat dat je het zo kan overgooien op de backup server.

is niet helemaal 100% uptime maar met een redelijke backup kan je binnen een uur zo terug zijn (afgaand de data)

acronis is hier een grote keyword voor