Beratung - Planung einer kleinen Umgebung

[Weingeist 157]

Hallo Leute,

 

Ich habe mittlerweile diverseste Lösungen in Betracht gezogen und durchgerechnet, wie man eine kleine Umgebung gut und kostengünstig aufsetzen könnte. Die "beste" Lösung weiss ich leider noch nicht. :(

 

Folgende Ausgangslage:

- 5 Arbeitsstationen gleichzeitig in Betrieb

- 1x SMB 2003 Premium

- 1x SCO Unix der dringend auf eine neue Hardware muss, läuft Herstellerseitig ausschliesslich in VM-Ware VM

- reines Datenvolumen von ca. 2TB

- Mail über Thunderbird und Pop3-Abholung.

- Nicht lauffähgiges Exchange auf dem SMB (einige Fehler in Ereignisanzeige, aber auch nicht verwendet bis jetzt)

- Kein sinnvolles Backup/Recovery Konzept

 

Das Ziel dieser Übung

- Upgrade auf 2008

- Nach wie vor via ISA oder TMG (Entweder ISA 2006 od. Upgrade auf EBS)

- Eigentlich weg vom Softwaremässigen Einserverprinzip (DC, AD), hardwaremässig auf einem wäre OK. --> Virtualisieren

- Möglichst wenig Hardware die gleichzeitig läuft--> Tiefere Anschaffungs- und Betriebskosten

- Wechsel von Thunderbird auf Outlook 2007 mit Exchange mit gemeinsamen Kalender und einzelne gemeinsame Postfächer.

- Möglichst gutes, einfaches Backup/Recovery Konzept

- Möglichst einfache Infrastruktur

 

Vorhandene Lizenzen

- SMB 2003 R2 Premium

- SMB 2008 Premium über SA

- ISA 2006 mit 2003 Standard über SA

 

Meine Überlegungen

Grundidee Lösungsansatz für den Server

- Storage auf einem Windows Storage Server

- Mehrere Raidverbünde über die gleichen Platten, einmal RAID 6 für die Daten und ein bzw. mehrere RAID 10 für Images der Betriebssysteme und Datenbanken

- Virtualisierung aller anderen Maschinen

 

Denke das hätte folgende Vorteile:

- Nur ein Storagesystem --> 1 Raidcontroller

- Kein virtualsiertes Fileserver-System

- Weniger ungenutzer Festplattenplatz

- Bei Verwendung von 300GB SAS viele Spindeln

- Einfacherer Backup/Recovery

 

Erweiterte Gedanken

- Entweder die anderen OS direkt auf dem Storage Server mittels zbsp. VmWare Server virtualisieren oder

- Eigene Hardware für Virtuelle Maschinen, diese greifen per iSCSI auf den StorageServer zu, welcher die Images bereit behält oder die OS-Images lokal und nur die Daten an sich auf den Storage auslagern (SQL + Exchange DB). Anschluss per iSCSI / Feature Pack 1 für Exchange --> Teurer, da zusätzliche Festplatten und viel ungenutzer Speicherplatz.

 

Grundidee Lösungsansatz für den Backup

- Verwendung eines Backupservers mit Microsoft System Data Protection Manager welcher die ganze Umgebung laufend sichert und wohl auch eine einfache Recovery-Möglichkeit bietet. --> Andere Extrem teure Lösungen entfallen. Einfaches automatisiertes "Datensammeln" aller Server (SCO dann halt irgendwie per Skript) --> Alte SMB-Server Hardware

- Evtl. zusätzlich in einem weiteren Ausbauschritt ein Tapeloader welcher den Backupserver zusätzlich sichert

 

Meine Hauptfragen an euch

- ist das Konzept völlig bescheuert, OK und/oder habt ihr Verbesserungsvorschläge?

- Könnte ich bei einem Upgrade auf den EBS was mir eigentlich am liebsten wäre (Einfacher Upgrade, Softwaremässig nicht nur ein Server, aktueller TMG, gute Verwaltung) auch zbsp. den Verwaltungsserver mit PDC als Host verwenden und in einer VM-Umgebung auf diesem Host den Rest laufen lassen? Files, DC, Verwaltung wäre dann nicht virtualisiert. --> Verzicht auf Windows Storage Server

[NilsK 2.795]

Moin,

 

also, auch wenn ich als Systemhausmitarbeiter nichts dagegen habe, einem Kunden möglichst viel zu verkaufen, sieht mir dein Konzept für fünf Arbeitsplätze doch etwas arg hoch gegriffen aus.

 

Warum nicht einfach beim SBS bleiben und ihn mit vernünftiger Hardware sowie einem ordentlichen Backupkonzept versehen? Das ist ja keine Zauberei. Für den SCO-Server könntest du dann entweder eine neue Hardware für den physischen Betrieb hinstellen oder eben einen VMware-Server.

 

Gruß, Nils

[Weingeist 157]

Hi Nils,

 

Vielen Dank für den Input.

 

Schon etwas oversized ja, allerdings muss man auch nen bissel folgendes bedenken:

- SMB 2008 braucht nen zweiten physischen Server für SQL

- den ISA möchte ich zwingend wieder einsetzen. --> Surfbeschränkungen, immer mal wieder Kiddies od. anderes die von aussen rein wollen, div. Portscans von aussen sowie ein Kleinbetrieb mit etwas kritischen Daten und sehr einfach handzuhaben. Allerdings nicht auf der gleichen Maschine wie den Rest. Zuviele Dienste, wenn der abschmiert, einfach wieder grundinstallation drauf o. Auswirkungen auf den Rest.

- den SCO Unix-Server der in einer VM laufen muss, ERP-Hersteller bietet nichts anderes mehr an. Läuft angeblich auch nicht mehr auf aktueller Hardware und wäre Konfigurationstechnischer overkill. Daher nur VM.

 

Wären dann theoretisch vier physische Server. Der ISA wird nicht mehr weiterentwickelt und das ich den TMG dann auch noch via SA bekomme inkl. einer zusätzlich Lizenz glaube ich eher nimmer daran. Da wäre der EBS ja lediglich ein Server mehr mit aktueller Technolgie, Exchange Front und sogar etwas Redundanz (DC, AD). Auf aktueller Hardware virtualisiert vermutlich kaum der Rede wert, ausser der RAM/Festplatten-Belastung. Outlook kann ich dann auch mit gutem gewissen verfügbar machen für unterwegs, Geschäft wie Familie.

 

EDIT: Allerdings ist es unsinnig den Fileserver zu virtualisieren imho. Daher die Idee mit dem StorageServer + iSCSI oder auf dem den Rest virtualisiert. Oder eben SMB eine Maschine + rest auf einer VM-Maschine? Bin ich aber fast wieder gleich weit (hardwaremässig, wenn auch etwas weniger lizenzkosten) und den ISA als VM in einem OS ist ja auch ned so prall, dann doch lieber auf ner physischen oder einem richtigen Hypervisor. Verzwickt das ganze... :-/

 

Beste Grüsse

[Weingeist 157]

Zusatz: Werde wohl sicher zwei Server einsetzen und einen DC nicht virtualisieren. Hab da so nen "unschönen" Beitrag gelesen. Sprich also den SMB oder den Verwaltungsserver beim EBS. Je nach dem. Auf dem dann auch den Fileserver. Storage Server wohl unnötig.

Dachte erst wenn tatsächlich EBS in Frage kommen würde (wenn upgrade nicht zu teuer), wegen Exchange sinniger, aber den könnte man auch per iSCSI einbinden anstatt dem Feature Pack (oder ist Feature Pack iSCSI *kopfkratz*). Und iSCSI Targets gibts auch von anderen als MS.

 

Wären also alle anderen Virtualisiert auf der zweiten Kiste. Bleibt nur die Frage ob mit local Discs oder iSCSI. Ich denke per iSCSI auf den Fileserver wäre sinniger --> weniger Spindeln kaufen und weniger Speicherplatz versauen und durch den Fileserver viele Spindeln für ein RAID 10. Was meint Ihr?

[fha 10]

Hi!

 

Also ich finde, dass du dir zuviel Gedanken über Hardware machst. Mit fünf Arbeitsplätzen langweilt sich jeder moderne QC Xeon weil du ihn nie auslastest.

 

Was ich sagen kann: Mindestens ein DC physikalisch. Ich habe einmal die Aussage bekommen, dass eine Umgebung in der alle DCs virtuell sind nicht supportet wird.

 

Hier mein Konzeptvorschlag:

- 1 * W2K8 Standard als Backup-,DC- und Fileserver (hier läuft auch dein VMWare-Server mit dem SCO-Unix)

- 1 * W2K8 Enterprise x64 mit Hyper-V (bei der Enterprise sind vier virtuelle Lizenzen zum Einsatz auf diesem Server dabei)

- 1 * externes Bandlaufwerk (wahrscheinlich LTO 4 oder so)

- 1 * Security Appliance

 

Auf dem Hyper-V-Server laufen dann max. vier virtuelle Maschinen. Hier mein Vorschlag für die ersten drei: 1 * DC, 1* EX2K7 und 1*SQL 2008. RAM würde ich in der Größenordnung 12 - 16 GB sizen. Bei deiner Unternehmensgröße müsste pro VM ein Raid 1 reichen.

 

Mein persönliches Statement nach ein paar schlechten Erfahrungen: Schmeiß den ISA weg. Sorgenfreier ist für deine Umgebung eine Appliance, z. B. von Astaro, Phion, Checkpoint... was es halt so gibt. Aber ganz klare Aussage: Das ist mein persönliches Statement, es gibt genug Leute, die anderst denken.

 

Je nachdem wieviele virtuelle Maschinen du nutzt und wieviele Daten du hast müssen natürlich die HDDs dimensioniert werden. Aber im groben würde ich das so machen. Und wenn wir hier z. B. von HP-Maschinen in der Größenordnung ML370 oder DL380 sprechen, prophezeie ich dir, dass die sich bei fünf Arbeitsplätzen immer noch langweilen.

[Weingeist 157]

Hi fha, auch dir ein Dankeschön fürs Statement.

 

Darf man bezüglich ISA fragen was du für schlechte Erfahrungen gemacht hast? Ich hatte durchwegs nur Gute bis jetzt. Hat Kiddies bis jetzt zumindest brav ausgesperrt und ist einfach ein paar mal unter böswilligen Besuchen zusammengebrochen --> CPU voll ausgelastet. Warum auch immer die sich für uns interessiert haben. IP-Range ausgrenzen + sehr selten ISA-Dienst-Restart hat das Problem jeweils gelöst. Zusätzlich eben noch sehr elegant Surffreigaben nach Uhrzeit, Benutzer, Protokollen usw.

 

Hardware: Naja, Gedanken mache ich mir hauptsächlich um die Kosten für die Hardware sowie einfaches Backup/Recovery und nicht ob sie leistungsfähig genug ist. Sowohl Anschaffung als auch laufender Betrieb. SAS-Spindeln sind ja nicht soo günstig, auch mit Vit B ned. Gute Backupprogramme die den Namen verdienen auch ned. ;)

Wird wohl nen Supermicro mit 16 od. 24 Einschüben --> Keine teuren, zusätzlichen JPOD's nötig, ohne Sorg Platz genug für ewig. Für den zweiten ein Fujitsu. Entweder eben mit Local Storage od. per iSCSI angebunden. Tendiere zu letzterem --> 1 RAID 6 über alle Platten für reines File-Storage, 1xRAID 10 od. mehrere über alle Platten für die VM's = weniger Spindeln total, mehr Spindeln für die Server. --> Mehrer RAID's auf einer Platte. Langweilen dürften sie sich so wohl auch. Gute zackige Verbindung muss dann halt noch her.

 

Lizenzen: Warum würdest du nicht den EBS nehmen? Finde den vom Konzept her eigentlich Top. Bietet genügend saubere Trennung und für meinen Zweck genügend Lizenzen. --> 4xStandard, 2xExchange, 1xSQL, 1xTMG, 1xSystem Center Essentials, Nur 1 CAL für alles.

 

Oder eben doch den SMB wie von Nils vorgeschlagen, läuft PDC, Verwaltung, Exchange auf einem, SQL ausgelagert, TMG gibts noch nicht standalone, also ISA + 2003er. Die SMB Lizenzen haben wir bereits und ISA 2006 + nen zusätzlichen Standard 3er R2 haben wir ja auch bekommen über die SA. --> Danke MS! Auch wenn das ein ziemlicher Krampf war.

 

Für EBS gibts nen UpgradePath, habe die Offerte allerdings noch nicht bekommen. Wenn die extrem teuer ist, werde ich eh beim SMB bleiben, überlegung nur dann wens auch in finanziellem Rahmen bleibt.

[NorbertFe 1.830]

Mein persönliches Statement nach ein paar schlechten Erfahrungen: Schmeiß den ISA weg. Sorgenfreier ist für deine Umgebung eine Appliance, z. B. von Astaro, Phion, Checkpoint... was es halt so gibt. Aber ganz klare Aussage: Das ist mein persönliches Statement, es gibt genug Leute, die anderst denken.

 

Jupp gibt es. ;) Es gibt aber bspw. auch Appliances mit ISA 2006. Was genau sind denn deine paar schlechten Erfahrungen? Abgesehen vom SP2 Problem mit dem SNP gibts eigentlich nix was mich wirklich stört. Natürlich haben andere Hersteller auch Funktionen, die der ISA nicht hat, aber da ist es fast egal was man nimmt, andere Lösungen haben auch andere Funktionen.

 

Bye

Norbert

[NorbertFe 1.830]

- Könnte ich bei einem Upgrade auf den EBS was mir eigentlich am liebsten wäre (Einfacher Upgrade, Softwaremässig nicht nur ein Server, aktueller TMG, gute Verwaltung) auch zbsp. den

 

Das TMG würdest du afaik aber auch über die SBS 2003 Premium SA erhalten.

The Official SBS Blog : Software Assurance entitlement for SBS 2003 customers upgrading to SBS 2008

 

 

Bye

Norbert

[Weingeist 157]

@Norbert: Auch dir Dankeschön. :)

Betreffend Upgrade:Diese Seite kenne ich, steht sogar noch auf der MS-Seite irgendwo direkt. Zwar etwas OT hier, aber Upgrade auf EBS ist auf alle Fälle ned sinnvoll möglich via Solution Pathway, da einiges teurer als komplett neue Lizenz. Dabei wollte ichs nur einfacher haben. Will nicht wissen was das ganze komplizierte TamTam MS kostet --> CD's pro Cal für Outlook (auf Wunsch jeweils für Win + Mac), Std. Lizenz + ISA 2006, TMG, div. Kleinkunden die motzen und genervt sind weil zwischen Distributor und MS hin und hergeschoben (sofern sie überhaupt wissen dases möglich ist), bei MS an der Tel-Hotline die wenigsten von dem wissen usw. Da wäre eine etwas günstigere Upgrade-Möglichkeit auf EBS sicher für beide besser gewesen.

Per Mail wurde mir mitgeteilt, dass TMG nicht im Sinne von SA verteilt wird, da nicht ISA-Nachfolger (wers glaubt) und auch keine SA für ihn abgeschlossen werden kann (gemäss Website). Mal sehen was sich ergibt wenn er dann tatsächlich verfügbar ist. Wird also wieder auf einige Telefonate hinauslaufen. Schade. :suspect: Aber will ja ned motzen, bin ja schon froh, dass man sie überhaupt bekommt und MS so fair ist, dass sie bei SA alle gelieferten Produkte mit einbezieht (wäre gesetzlich anders wohl auch etwas grenzwertig). Wäre halt schön gewesen, wens mit SA automatisch geschieht und die Prozedere einfacher wäre.

 

Fazit Software: Es wird wohl beim SMB bleiben. Dieser evtl. mit sinnigem ergänzt werden.

 

Was noch an Fragen übrigbleibt

- Ist es sinniger Windows über iSCSI vom SMB zu booten oder

- Lokale Festplatten zu verwenden?

- Ist System Data Protection Manager eine sinnvolle Backup-Variante der Windows-Umgebung für uns? Evtl. Später mit Tape-Erweiterung? --> Vorher mit Skriptbasierten Copy des SDPM auf externe Festplatten

[fha 10]

Hi!

 

Nur Kurz als Antwort:

Ich muss gestehen, dass ich mich mit dem EBS-Modell noch nicht sehr intensiv auseinandergesetzt habe, daher habe ich den auch eher begrenzt auf der Palette.

 

Zum ISA: Ich bin mit dem 2004er bei zwei verschiedenen Projekten tierisch auf die Nase gefallen. Das eine hatte etwas mit der dynamischen Gewährung von Internetzugängen zu tun und das andere mit der Aufzeichnung von Internetnutzungsdaten zu Abrechnungszwecken. Da bin ich einfach auf ein paar Dinge gestoßen die ich a) nicht nachvollziehen konnte und b) als Grenzen des ISA wahrgenommen habe. Außerdem hatte ein Kollege von mir hier (ich meine mit der aktuellen Version, bin mir aber nicht sicher) einmal das Problem, dass es schien das sich irgendwas verschluckt hatte, er startete den Server neu und danach war der ISA fast im Auslieferungszustand.

 

Seither (obwohl ich gestehen muss, dass ich durch einen Arbeitsplatzwechsel nun praktisch nichts mehr mit Security zu tun habe) habe ich fast nur mit fertigen Appliances von Phion und/oder Astaro gearbeitet (die nicht mit ISA laufen) und sehr gute Erfahrungen gemacht (es ist halt nichts perfekt,... :wink2:).

 

EDIT:

Ach ja, ich würde für das OS interne PLatten nehmen. Grund: Wenn dir im laufenden Betrieb das Netzwerk wegfällt und iSCSI daher nicht mehr läuft gibt es eine nicht unerhebliche Wahrscheinlichkeit, dass du bei deinen DCs oder Exchange.. erst einmal ein Disaster Recovery für das OS machen darfst bevor du dich mit den weiterführenden Problemen beschäftigst.

[Weingeist 157]

Zum ISA: Solche Probleme hatte ich noch ned mal auf einem SMB wo alle Server-Applikationen wild miteinander laufen (SQL, ISA, Exchange usw.) Abrechnungen und dergleichen plane ich ned. Internetzugang mit Berechtigungen auf Protokollebene, Zeit usw. funktioniert bei mir prächtig.

 

Boot From für die Virtuellen TeileHmm dachte da - falls möglich - eher an redundant ausgeführte Direktverbindung ohne Switch zwischen den zwei Server. Ob und wie ausser iSCSI (FC, ..) möglich habe ich leider noch nicht näher herausgefunden.

[NilsK 2.795]

Moin,

 

ich finde trotzdem, dass du die Spatzen (fünf User!!!) mit übergroßen Kanonen beschießt. Aber bitte, wenn die bereit sind, so viel Geld auszugeben ... dann würde ich den Kunden allerdings auch gern mal kennen lernen.

 

Gruß, Nils

[Weingeist 157]

@NilsK: Verstehe deine Sicht schon, vor allem in Bezug auf EBS. Aber der ist ja gestorben. Gibt aber andere Punkte die man eben berücksichtigen muss und es dadurch eben auch zu einem gewissen Grad oversized sein muss obwohl es eigentlich ein Minibetrieb ist.

 

- Ist ein Kleinbetrieb, der einigen Konzernen auf den Füssen rumtrampelt und mit aller Kraft versucht wird zu bremsen. Sind also sehr sehr ungerne gesehen. --> Vernünftige Firewall und wens nur fürs beruhigtere schlafen ist.

- Firma hat hervorragenden Ruf zu verlieren bei hunderten Betrieben für welche sie als Lohnunternehmer arbeitet.

- Laufend Aufzeichnung in der Produktion (gesetzlich) die vor allem auch für die Kunden und Lieferanten wichtig sind. 15 min Datenverlust in Saison = kleine, grad noch so vertretbare Katastrophe. 1 Tag Datenverlust = Nächstes Flugzeug Bahamas.

 

Die Hardwarebelastung an sich ist sicher Minimalst. Computer sind schon mehr als 5. Allerdings nur 5 machen auswertungen + Exchange welche eben auch eine gewisse Last fordern. Die restlichen sind völlig zu vernachlässigen. bissel Word + Aufzeichnungen usw.

 

Mein Problem: Ausrüstung eigentlich wie ein Grossbetrieb, finanziell aber nicht möglich.

 

Daher mein Lösungskonzept:

- Soviel möglich auf einer Maschine virtualisieren.

- Möglichst einfache Struktur = für mich möglichst softwaremässig unabhängige Serversysteme.

- Möglichst gutes Backup UND Recovery --> MS mit 15min Intervall scheint gut, Tests auf Testhardware waren sehr positiv.

- Möglichst gute Hardware die nach Möglichkeit gar nicht erst ausfällt bzw. die Wahrscheinlichkeit möglichst tief ist.

- Nutzung von Vitamin B bei Hardware ;)

 

Für die grosse Menge an Daten (Grösste Menge davon ist Privat, die sollen aber auch so sicher wie möglich sein) ist es aber Unsinn sie zu virtualisieren. --> Irgend ne Mühle welche Files zu Verfügung stellt. Also irgend eine darf ned virtualisiert sein. Der SMB od. der Verwaltungsserver bei EBS bietet sich dafür an (Der aber gestorben ist, da zu teuer)

 

Da eh viele Spindeln für Storage gebraucht werden --> Warum nicht mehrer Arrays über die selben Platten. Sprich der 10er Array für alle anderen OS-Images + Datenbanken - was ned so arg viele Daten sind - bereitstellen. Falls möglich auf der gleichen Maschine oder eben per iSCSI angebunden --> EDIT: Spart Controller und Festplatten.

 

EDIT: Was ich auch gut finden würde: VmServer auf dem PDC/Fileserver, welcher die restlichen Maschinen virtualisiert. --> Für Firewall nicht sooo der Hit, weil Netzwerkadatper auch am Host.

 

Betreffend Backup: Naja, es ist ein alter Zopf, das Backup und Recovery zwei paar Schuhe sind. Habe es oft genug gesehn, das eben das Recovery nicht wie gewünscht funktioniert hat oder das vernünftige Hardware billiger gewesen wäre als die Zeit und die Nerven die verschwendet wurden. Selber auch schon genug oft erlebt und andere Systeme wieder in Gang gesetzt.

 

Wenn da zuverlässigere, bessere und günstigere Methoden bestehen, ich bin offen für alles. Desshalb frage ich ja nach Anregungen. :D

Finde es ja selbst auch völlig übertrieben, weiss aber den besten Ausweg aus der Zwickmühle noch ned. Irgendwelche Berater kommen auf wildeste Offerten bei den Anforderungen. Ich bin auf nem Bruchteil davon bis jetzt und meine Kanonen fast schon Spielzeugpistolen dagegen. :D

[Weingeist 157]

Kleiner Anhang:

Gemäss einiger Recherchen ist es wohl doch möglich (aber nicht sinnvoll?) SQL auf der selben Maschine zu installieren. Wäre also ein Server weniger. Lizenz könnte ich also für DPM brauchen, falls das sinnvoll ist für uns. Dann eben noch den ISA auf einen separaten, alten Computer und SCO innerhalb einer VmServer auf einem der Hosts oder sogar einem Guest-System --> eh nur ein Client der den SCO braucht. Zur Sicherung dann jeweils runterfahren und auf den Server kopieren.

 

Auch vorhanden ist Acronis Backup for SBS. Evtl anstatt DPM die AddOn's für SQL und Exchange verwenden?

 

Was meint ihr? Noch Ideen?