Ex2013 - Single server, extra VM aamaken voor Edge role/DMZ?

[Ztegeman]

Na een migratie van SBS 2003 heb ik nu een nieuwe server draaien obv Win Server 2012R2. Dit is voor een klein bedrijf met 10 werknemers, wel heftige gebruikers (meerdere 5GB mailboxen, veel zoekacties)

Ik wil deze week een Exchange 2013 server installeren op onze nieuwe server, maar nu vraag ik mij af:
is een aparte VM aanmaken, speciaal voor een extra Exchange 2013 server met Edge-only role, verstandig / handig?
Het idee is dat ik die beter kan afschermen. Of helemaal een aparte VM voor Exchange 2013 zonder edge role?

Huidige situatie:
Ik zit op een Ziggo Zakelijk verbinding, Met één goede nieuwe server die alles moet gaan doen.
Een Xeon E5-2620v3 16GB ECC RAM, SAS 15K schijven

Windows Server 2012R2 Standard
+ DC Master (AD), Hyper-V, File & Printer server, DHCP, DNS roles

Virtueel Windows Server 2008R2 Standard
+ Exchange 2010 server met mailbox, Transport & CAS roles
Helaas was een tussenstap maken naar Exchange 2010 wel nodig, directe migratie van 2003 naar 2013 was niet mogelijk. Dus daarom draait er nu een virtuele Exchange 2010 server op de nieuwe server. muv connectivity op de iPhone, werkt deze goed.

Graag hoor ik jullie ideeen en adviezen.

Kleine noot: ik moet het hele traject in mijn eentje doen en ik ben geen MCSE-er, maar ik heb wel een technische opleiding gehad dus ik weet van veel af (echter vaak nét niet genoeg). Office 365 is nu geen optie - ga ik niet over in discussie, maar was wel beter geweest.

[Oogje]

Persoonlijk ben ik meer van een Barracuda spam appliance bijvoorbeeld ipv Exchange edge. Zou je ook nog als een dienst kunnen afnemen, scheelt weer een vm in de lucht houden met t noodzakelijke configureren en onderhouden.

[Widow]

Meestal word de edge server in een DMZ geplaatst, en dan is het een aparte machine die ook niet domain joined is. Als je de mogelijkheid hebt om dat te doen is het wel een mooie oplossing, maar ik heb ook genoeg installaties gezien waarbij alles gewoon op één server werd geplaatst. In een DMZ is het wel wat meer werk omdat je moet zorgen dat naamresolutie en een eventuele firewall geconfigureerd moeten worden, maar daar zijn genoeg bronnen over te vinden. En de server moet extern te benaderen zijn natuurlijk

Ik zou eerst kijken of je netwerkinfra een DMZ heeft, en of je daar een server in kan hangen.

[mbaltus]

Wat is beter afschermen? tegen virussen of spam? tegen aanvallen?
Vraag jezelf goed af wat je wilt bereiken en bepaal op basis daarvan de oplossing.
(en mijn gut-feeling zegt dat twee Exchange servers met gescheiden rollen voor 10 gebruikers niet de beste oplossing is voor wat je wilt bereiken).

[jantjegroen00]

Waarom maak je niet 2 vm's aan en laat je die host kaal?

Host
Windows Server 2012 R2
Hyper-V

VM1
Windows server 2012 R2
DC, File, Print, DHCP, DNS

VM2
Windows Server 2008 R2
Exchange 2010

Op de Exchange server installeer je gewoon alle rollen.
VM's kun je backuppen met gratis versie van Altaro Hyper-V backup.

[Ztegeman]

Bedankt allemaal.

Hoewel het een leuke case-study zal opleveren denk ik dat ik de resources (met name geheugen) van de server beter kan gebruiken zonder extra Exchange VM.
Dus ik installeer alles op een server, dus ik moet de router/gateway/firewall beter afstellen. Maar dat scheelt tijd dan

Misschien een betere firewall-appliance.

@jantjegroen mbt "Waarom geen 2 VMs": Die oplossing heb ik al vaker opgezet, vanuit beveiliging en upgrade-path een slim idee, echter loop je tegen een paar essentiële dingen aan, waardoor ik het in mijn bedrijf nu niet zo heb ingericht:
Domein Controllers & DHCP servers zijn liever geen virtuele machines, want je loopt altijd tegen tijdsynchronisatieproblemen aan en het probleem dat als je DC, DHCP&DNS er langer over doet om op te starten, je VMs die daarvan afhankelijk zijn gaan lopen klagen.
Daarnaast zijn fileservers icm vhd's zijn niet optimaal, je hebt toch last van overhead. We gebruiken veel grote bestanden die iedereen vanaf de server opent en gebruikt, dus de fileserver wil ik zo optimaal mogelijk hebben.

[akimosan]

Je opmerkingen met betrekking tot tijdsynchronisatie en fileserver performance met VHD's zijn echt al achterhaald in Hyper-V 2012

Zoek wat recente casestudies en zoek op real world scenarios en je komt erachter dat in de meeste enterprises echt al wel virtual disks en VM's worden gebruikt voor die rollen.

http://www.altaro.com/hyper-v/hyper-v-pass-through-disks/

Dus ik denk niet dat jouw MKB bedrijfje met 10 werknemers hierin erop achteruit gaat qua performance.

Je kunt desnoods pass-though disks gebruiken in je VM's maar het afgeraden indien je geen specifieke requirements hebt zoals daar beschreven.

Je beperkt jezelf door je keuzes en naar mijn idee is het meer ingegeven door vooroordelen en onbekendheid dan hands-on ervaring en kennis.

Help jezelf met meer kennis en ervaring en maak de stap

[Ztegeman]

Ja, daar heb ik minder goede ervaring mee gehad, dat was inderdaad met Windows Server 2008 core en Hyper-V. Ben toen meer dan een dag bezig geweest met de tijd synchronisatie goed instellen, want de virtuele DC verloor gemiddeld één seconde per minuut.
Maar de installatie terugdraaien is niet handig. Dus het is meer negatieve ervaring dan vooroordelen.
Daarbij komt dat 16 GB geheugen niet genoeg is om dat te verdelen over drie servers.

[ Voor 50% gewijzigd door Ztegeman op 09-06-2015 23:41 . Reden: uitbreiding ivm snelle reactie vanaf mobiel ]

[jantjegroen00]

Ik werk zelf bij een ICT bedrijf waar we gespecialiseerd zijn met Microsoft producten.
Wij gebruiken zelf Hyper-V en rollen dit standaard bij al onze klanten uit.
Jouw argumenten zijn wat Akimosan al aangeeft achterhaald.

Je kan in Hyper-V aangeven wat de opstarttijden van je VM's moet zijn.
Als je bij de eigenschappen kijkt kun je voor je vm's die afhankelijk zijn van de DC een startup delay instellen van bijv. 2 min. dan heeft de DC genoeg tijd om op te starten.

Fileservers i.c.m. VHDX bestanden werken perfect.

Time synchronisation moet je uitzetten op de vm's anders nemen ze de tijd over van de host ongeacht wat voor instellingen jij aan je vm's geeft.
Dit kun je bij integration services uitzetten.
vervolgens op je DC.

w32tm /config /manualpeerlist:nl.pool.ntp.org /syncfromflags:MANUAL
w32tm /config /update
w32tm /resync

Tegenwoordig maakt het voor servers niet meer uit of ze nou fysiek of virtueel zijn.
Alleen 3e partij software i.c.m. dongels kunnen nog een probleem zijn.

[Jazzy]

Dus je vraag is uiteindelijk of je een Edge Transport server nodig hebt? Die kun je inzetten als je een vereiste hebt om e-mail in de DMZ op te vangen ipv. door te sturen naar je interne netwerk. Een andere overweging kan zijn dat je op de Edge Transport spam-filtering doet en zo nog maar 20% van het oorspronkelijke mailvolume op je interne servers hoeft te verwerken.

Dus het antwoord is nee.

En ik sluit me bij de anderen aan, je kunt werkelijk iedere workload tegenwoordig virtualiseren. Als je daarbij tegen problemen aanloopt dan is de kans groot dat het gewoon gebrek aan kennis is, het zal niet snel aan de te virtualiseren rol liggen.

[ Voor 24% gewijzigd door Jazzy op 13-06-2015 13:38 ]

[furian88]

ik zou het als volgt doen..

*. kale windows 2012 r2 met alle updates inclusief hyper-v rol
- server 2012 r2 DC Master (AD), File & Printer server, DHCP, DNS roles
- server 2012 r2 Exchange 2013 met minimaal 16gb toegewezen geheugen, het liefst zelfs meer!

Mijn advies, koop meer geheugen!!

[furian88]

jantjegroen00 schreef op woensdag 10 juni 2015 @ 15:08:
Ik werk zelf bij een ICT bedrijf waar we gespecialiseerd zijn met Microsoft producten.
Wij gebruiken zelf Hyper-V en rollen dit standaard bij al onze klanten uit.
Jouw argumenten zijn wat Akimosan al aangeeft achterhaald.

Je kan in Hyper-V aangeven wat de opstarttijden van je VM's moet zijn.
Als je bij de eigenschappen kijkt kun je voor je vm's die afhankelijk zijn van de DC een startup delay instellen van bijv. 2 min. dan heeft de DC genoeg tijd om op te starten.

Fileservers i.c.m. VHDX bestanden werken perfect.

Time synchronisation moet je uitzetten op de vm's anders nemen ze de tijd over van de host ongeacht wat voor instellingen jij aan je vm's geeft.
Dit kun je bij integration services uitzetten.
vervolgens op je DC.

w32tm /config /manualpeerlist:nl.pool.ntp.org /syncfromflags:MANUAL
w32tm /config /update
w32tm /resync

Tegenwoordig maakt het voor servers niet meer uit of ze nou fysiek of virtueel zijn.
Alleen 3e partij software i.c.m. dongels kunnen nog een probleem zijn.

wel eens gebruik gemaakt van een DIGI anywhereUSB ?

o crap, dubbele post... sorry admins

[Wim-Bart]

furian88 schreef op maandag 15 juni 2015 @ 09:54:
ik zou het als volgt doen..

*. kale windows 2012 r2 met alle updates inclusief hyper-v rol
- server 2012 r2 DC Master (AD), File & Printer server, DHCP, DNS roles
- server 2012 r2 Exchange 2013 met minimaal 16gb toegewezen geheugen, het liefst zelfs meer!

Mijn advies, koop meer geheugen!!

Ik zou gewoon het volgende doen:
Host: 2012R2 + Hyper-V + Data Deduplication rol, 32GB geheugen
1 x VM 2012R2, AD, DHCP, DNS, 2 cores, 2GB
1 x VM 2012R2, Fileserver, 2 cores, 2GB
1 x VM 2012R2, Exchange, 4 cores, 16GB

Heb je nog geheugen over en zat kracht om een extra VM de lucht in te trappen. Gewoon een 4 Core machine met Hyperthreading of een 6 core met Hyperthreading.

Je OS VHDX op snelle storage, liefst op SSD in RAID-1 net zoals je Host OS. Met Data Deduplicatie blijft er niks over van de benodigde ruimte, haal zelf met 8 2012R2 VM's 80% besparing op alleen de OS disks.

Exchange DB en Logs scheiden op separate disks met fixed sized VHDX-en. Exchange Database op HDD exchange Log op SSD, zelfde geldt overigens voor een SQL Server, Database op HDD, Logs op SSD.

En Edge Server, niet doen. Nergens voor nodig. En heb je een anonymous relay nodig voor intern, dan kan je in exchange gewoon een extra SMTP connector aanmaken.

Daarnaast een tip. Ten minste 3 netwerk kaarten.
Kaart 1: Management voor Hyper-V
Kaart 2 & 3: Team deze in Server 2012R2 en gebruik die voor de VM's
Heb je iSCSI, dan 2 extra kaarten in een Team hiervoor gebruiken.

[ Voor 13% gewijzigd door Wim-Bart op 29-06-2015 11:56 ]

[Jazzy]

Een paar dingen... Ten eerste kost deze oplossing een tweede licentie omdat de je met de Windows Server 2012 R2 maar twee OSE's mag draaien. Voor de derde VM is dus een tweede licentie nodig.

Data deduplicatie van live Hyper-V VM's is alleen ondersteund voor VDI workloads.

Er is geen enkele noodzaak om de Exchange logs op SSD te zetten. Ik heb de calculatie niet gedaan maar je moet er van uitgaan dat hiervoor nog geen 10 IOPS nodig zijn.

En dedicated netwerkkaarten zijn niet de best practice voor Hyper-V, lees je maar eens in over converged networking. Je moet je afvragen wat de meerwaarde dan is van het kopen van extra netwerkadapters.

[ Voor 18% gewijzigd door Jazzy op 29-06-2015 12:04 ]