wanneer gebruik ik cals

[ruben123321]

Beste Tweakers,

Ik en een paar klas genoten zijn bezig om meerdere esxi (vmware) servers op te zetten. Nu willen we er van af buiten bij (dit mag van de opleiding en de ict afdeling) alleen willen wij voorkomen om voor iedere esxi server een poort open te zetten, dus hadden wij bedacht we zetten er een Windows machine bij (server 2016) en hier zetten we remote desktop op aan en de poort voor remote desktop open. Op deze 2016 server komen meerdere users (mede klasgenoten) zodat klasgenoten simultaan kunnen werken op hun eigen esxi server via de 2016 server, alleen vraag ik mij af heb je hier cals (Client Access License) voor nodig zo ja welke? Ik vraag me ook nog af is dit persoonlijk gebruik of commercieel gebruik zelf denk ik persoonlijk want het is geen bedrijf die van onze omgeving gebruik maakt.

Ik hoop dat jullie kunnen helpen, ik sta altijd open voor vragen of andere (betere) ideeën,

met vriendelijke groet

-Ruben

[HKLM_]

Ik zou mij eerst maar eens gaan verdiepen in het issue “remote desktop naar buiten open” dat is namelijk een bijzonder slecht idee i.v.m security. Dat je opleiding en zelfs IT afdeling dat ondersteunen zegt wel wat over het niveau wat mij betreft.

Je kan wel een Remote desktop gateway optuigen met security etc maar dat is andere koek dan een rdp poortje naar buiten openzetten.

Koppie via google:

A Windows Server Client Access License (CAL) is a license that gives a user or device the right to access services, such as printing or access to a file share, from a server running the Windows Server operating system (OS). Microsoft offers device CALs and user CALs. A user CAL must be purchased for every user who accesses the server to use services. This is a more common licensing arrangement and grants each user the right to access server services from several different devices. A device CAL must be purchased for each device that accesses the server and is appropriate for machines that are used by several users,

[ Voor 90% gewijzigd door HKLM_ op 31-05-2018 22:31 ]

[Loen]

Oké, klein beetje buiten de vraag om maar je zegt open te staan voor andere ideeën ;-)
Als je je zorgen maakt om de licentie, waarom zet je geen Linux servertje neer en zoek dan eens op ssh tunnels.

Per definitie multi user, veiliger en gratis (en kijk dan gelijk even naar kvm/proxmox/ovirt en docker ;-))

[.Maarten]

Ik zou eerder iets van een VPN oid gebruiken. Dat is veiliger en veel makkelijker.

[Linke Loe]

Om dan maar even terug te komen op de eigenlijke vraag: voor een dergelijke opstelling heb je Windows Server CAL's en Remote Desktop CAL's nodig.

Een Windows Server CAL geeft een gebruiker of een device het recht om gebruik te maken van wat voor dienst ook, die aangeboden wordt door een Windows server. Denk hierbij niet alleen aan het inloggen op een domein, maar ook aan het verkrijgen van een IP-adres door een DHCP server en het printen op een printer die via een Windows server wordt gedeeld.

Remote Desktop CAL's heb je nodig om met meerdere gebruikers in te kunnen loggen op een remote desktop omgeving.

[ruben123321]

als eerst bedankt voor de snelle reacties en dat zo laat nog

HKLM_ schreef op donderdag 31 mei 2018 @ 22:21:
Ik zou mij eerst maar eens gaan verdiepen in het issue “remote desktop naar buiten open” dat is namelijk een bijzonder slecht idee i.v.m security. Dat je opleiding en zelfs IT afdeling dat ondersteunen zegt wel wat over het niveau wat mij betreft.

Je kan wel een Remote desktop gateway optuigen met security etc maar dat is andere koek dan een rdp poortje naar buiten openzetten.

Koppie via google:

A Windows Server Client Access License (CAL) is a license that gives a user or device the right to access services, such as printing or access to a file share, from a server running the Windows Server operating system (OS). Microsoft offers device CALs and user CALs. A user CAL must be purchased for every user who accesses the server to use services. This is a more common licensing arrangement and grants each user the right to access server services from several different devices. A device CAL must be purchased for each device that accesses the server and is appropriate for machines that are used by several users,

Dit is gewoon een eerste idee, we hebben een uplink buiten het school netwerk om waar wij alles op mogen doen van hun waarschijnlijk is dit een losse vlan zij willen hier ons niet meer over vertellen, ik zat zelf ook over de security te peinzen had ook een vpn in gedachte, maar dit was één van de eerste ideeën en ik dacht kijk eens wat andere er van vinden.

nehru schreef op donderdag 31 mei 2018 @ 22:22:
Oké, klein beetje buiten de vraag om maar je zegt open te staan voor andere ideeën ;-)
Als je je zorgen maakt om de licentie, waarom zet je geen Linux servertje neer en zoek dan eens op ssh tunnels.

Per definitie multi user, veiliger en gratis (en kijk dan gelijk even naar kvm/proxmox/ovirt en docker ;-))

hier zal ik zeker eens naar kijken, bedankt.

-----------------------------------------------------------------------------------------------------------------------------------------------------------

Ik heb dan ook nog een andere vraag (niet vrij uitgedacht op het security gebied), stel ik gebruik een andere remote desktop server en client zoals vnc heb ik dan ook nog deze cals nodig?

[ruben123321]

Linke Loe schreef op donderdag 31 mei 2018 @ 22:43:
Om dan maar even terug te komen op de eigenlijke vraag: voor een dergelijke opstelling heb je Windows Server CAL's en Remote Desktop CAL's nodig.

Een Windows Server CAL geeft een gebruiker of een device het recht om gebruik te maken van wat voor dienst ook, die aangeboden wordt door een Windows server. Denk hierbij niet alleen aan het inloggen op een domein, maar ook aan het verkrijgen van een IP-adres door een DHCP server en het printen op een printer die via een Windows server wordt gedeeld.

Remote Desktop CAL's heb je nodig om met meerdere gebruikers in te kunnen loggen op een remote desktop omgeving.

aangezien dit voor educatie doeleinden is is dit dan nog steeds van pas?

[MAX3400]

Wat is er mis om gewoon officiele tooling van VMware te gebruiken en dus VSphere te gebruiken?

Geen gedoe met CALs, minder gedoe met security (want https), en je kan je "admin-rollen" uitdelen mits je de goede licenties hebt zodat leerling A niet host B van leerling C omver kan trekken.

Aangezien het "school" is, zal je alles qua externe / interne toegang moeten regelen met je leraar en school.

Constructief: WAAROM denk je een Windows machine nodig te hebben? En waarom heb je CALs nodig; in Eval-mode kan je ook langere tijd doordraaien?

[ruben123321]

MAX3400 schreef op donderdag 31 mei 2018 @ 22:52:
Wat is er mis om gewoon officiele tooling van VMware te gebruiken en dus VSphere te gebruiken?

Geen gedoe met CALs, minder gedoe met security (want https), en je kan je "admin-rollen" uitdelen mits je de goede licenties hebt zodat leerling A niet host B van leerling C omver kan trekken.

Aangezien het "school" is, zal je alles qua externe / interne toegang moeten regelen met je leraar en school.

Constructief: WAAROM denk je een Windows machine nodig te hebben? En waarom heb je CALs nodig; in Eval-mode kan je ook langere tijd doordraaien?

Er komen ongeveer 20 esxi servers, en ik wil graag zo min mogelijk poorten openen. De cals omdat het plan was / is een 2016 machine te gebruiken met meerdere users die dan weer vsphere heeft en als je clients /users hebt die een dienst afnemen van een server het je cals nodig, altans dat is mijn kennis tot zo ver.

[MAX3400]

ruben123321 schreef op donderdag 31 mei 2018 @ 23:13:
[...]


Er komen ongeveer 20 esxi servers, en ik wil graag zo min mogelijk poorten openen. De cals omdat het plan was / is een 2016 machine te gebruiken met meerdere users die dan weer vsphere heeft en als je clients /users hebt die een dienst afnemen van een server het je cals nodig, altans dat is mijn kennis tot zo ver.

Nogmaals, waarom heb je een Windows Server nodig? Vsphere kan je als (virtual) appliance draaien incl de web-editie, aan de buitenkant heb je 1 poortje nodig en klaar?

[ruben123321]

MAX3400 schreef op donderdag 31 mei 2018 @ 23:18:
[...]

Nogmaals, waarom heb je een Windows Server nodig? Vsphere kan je als (virtual) appliance draaien incl de web-editie, aan de buitenkant heb je 1 poortje nodig en klaar?

Weet niet alles van vsphere, zal daarom eens goed gaan kijken wat de mogelijk heden zijn. Ik begrijp hier dus uit dat ik meerdere esxi servers van af één machine kan besturen / benaderen.

[Dennism]

Ik mag toch hopen dat je die 20 esxi servers aan een vCenter oid knoopt. Anders ga je toch echt flink inleveren op je beheersbaarheid.

[ruben123321]

Dennism schreef op vrijdag 1 juni 2018 @ 00:00:
Ik mag toch hopen dat je die 20 esxi servers aan een vCenter oid knoopt. Anders ga je toch echt flink inleveren op je beheersbaarheid.

dit is nu inderdaad het plan ben dit eerst virtueel aan het testen, sta open voor tips namelijk eerste keer dat ik vcenter gebruik.

[Room42]

@ruben123321 vCenter is eigenlijk een centrale console waar je al je ESXi-hosts in koppelt en zo centraal beheert. Daarnaast geeft het veel management features zoals High Availability (HA) en vMotion. Je kunt een instance (of meerdere instances, op verschillende hosts, zodat die hoog beschikbaar is) van vCenter virtueel draaien op diezelfde ESXi-hosts. Let wel op dat voor veel van die features een licentie nodig is. Voor educatie is er wel een trial van beschikbaar, volgens mij ESXi zelf is gratis te gebruiken maar dan mis je het centrale beheer en zaken als (storage) vMotion en het clonen van VM's.

Maar begrijp ik dus goed dat dit een schoolopdracht is? Is het dan misschien handig om even het kader van de opdracht te schetsen voordat wij met allemaal wilde 'big enterprise' praktijksituaties komen?

Wat 'al die poorten openzetten' betreft; Ik zou inderdaad voor VPN gaan zodat je daarover bij al die servers (IP-adressen en poorten) kunt komen.

[ Voor 17% gewijzigd door Room42 op 01-06-2018 00:40 ]

[Jazzy]

Even een reactie vanuit de praktijk. Op zich is de gedachte om een stepping stone of management server in te richten helemaal geen slecht idee, dit is heel gebruikelijk. Op die server kun je beheertools installeren of in ieder geval je netwerk zo inrichten dat de beheerders vanaf die server overal bij kunnen. Voordeel is dat je maar één beheerwerkplek hoeft te beheren en je serveromgeving alleen beschikbaar hoeft te maken van die ene server. Qua beveiliging kun je denken aan een RDP Gateway server (HKLM_ in "wanneer gebruik ik cals") en VPN is ook een prima oplossing, bij voorkeur in alle opties met multi-factor authenticatie want je kunt niet uitsluiten dat iemands credentials een keer bekend worden.

Het aanschaffen van vCenter is maar deels een alternatief want je zult nog steeds iets moeten regelen om iedereen toegang tot de webinterface te geven. Verder moet je je afvragen of de prijs van vCenter het waard is. In jullie geval gaat het namelijk om één beheerder die één ESXi server beheert, niet om één beheerder die een groot aantal ESXi servers moet beheren.

Wat de oorspronkelijke vraag betreft, check even of je school niet al licenties beschikbaar heeft voor Windows Server. Of dat je misschien evaluation mode kunt gebruiken, het is immers geen productie. Ik weet ook even niet precies wat de richtlijnen zijn maar zou me er zelf niet al te schuldig bij voelen om het als een trial te zien. Enige uitdaging is dan je RDP licenties als je met meer dan twee concurrent admins wilt inloggen, ik denk niet dat dit voor langere tijd kan zonder daadwerkelijke RDP cals aan te schaffen.

Modbreak:

Dan nog een een reminder, in principe zien we liever geen hulpvragen bij schoolopdrachten op huiswerk op het forum. Maar in dit geval stelt de topicstarter een heldere vraag, laat duidelijk zien dat hij er zelf moeite in steekt en pakt de aangeboden suggesties netjes op. Dat zien we hier graag, en kunnen sommige professionals nog wel wat van opsteken. Hou dit vast!

[ruben123321]

Jazzy schreef op vrijdag 1 juni 2018 @ 11:19:
Even een reactie vanuit de praktijk. Op zich is de gedachte om een stepping stone of management server in te richten helemaal geen slecht idee, dit is heel gebruikelijk. Op die server kun je beheertools installeren of in ieder geval je netwerk zo inrichten dat de beheerders vanaf die server overal bij kunnen. Voordeel is dat je maar één beheerwerkplek hoeft te beheren en je serveromgeving alleen beschikbaar hoeft te maken van die ene server. Qua beveiliging kun je denken aan een RDP Gateway server (HKLM_ in "wanneer gebruik ik cals") en VPN is ook een prima oplossing, bij voorkeur in alle opties met multi-factor authenticatie want je kunt niet uitsluiten dat iemands credentials een keer bekend worden.

Het aanschaffen van vCenter is maar deels een alternatief want je zult nog steeds iets moeten regelen om iedereen toegang tot de webinterface te geven. Verder moet je je afvragen of de prijs van vCenter het waard is. In jullie geval gaat het namelijk om één beheerder die één ESXi server beheert, niet om één beheerder die een groot aantal ESXi servers moet beheren.

Wat de oorspronkelijke vraag betreft, check even of je school niet al licenties beschikbaar heeft voor Windows Server. Of dat je misschien evaluation mode kunt gebruiken, het is immers geen productie. Ik weet ook even niet precies wat de richtlijnen zijn maar zou me er zelf niet al te schuldig bij voelen om het als een trial te zien. Enige uitdaging is dan je RDP licenties als je met meer dan twee concurrent admins wilt inloggen, ik denk niet dat dit voor langere tijd kan zonder daadwerkelijke RDP cals aan te schaffen.

[modbreak]Dan nog een een reminder, in principe zien we liever geen hulpvragen bij schoolopdrachten op huiswerk op het forum. Maar in dit geval stelt de topicstarter een heldere vraag, laat duidelijk zien dat hij er zelf moeite in steekt en pakt de aangeboden suggesties netjes op. Dat zien we hier graag, en kunnen sommige professionals nog wel wat van opsteken. Hou dit vast![/modbreak]

Dank je wel voor de reactie.

Ik ben er uit denk ik , heb gister avond in de vcenter het een en ander geprobeerd, dit is precies wat wij willen, een leeraar op onze opleiding heeft volledige toegang tot alles van vmware dus over de kosten zitten we niet over in. Allen hartelijk bedankt voor alle reacties en suggesties heb hier zeker wat aan gehad!!!

Het word een kleine change of plan: 2 klasgenoten en ik gaan meerderr esxi servers beheren, als een mede student dan een vm nodig heeft regelen wij dat.

Ik sta zeker nog steeds open voor suggesties

[akimosan]

Suggestie: alles goed documenteren. Je zit immers (hopelijk) niet eeuwig op de opleiding