[решено] Выбор ПО для нового сервера

[cortes_]

Доброго времени суток!
Руководство дало добро на покупку сервера. В частности топология сети пока у нас такая: 5 рабочих групп. На Server 2003 организован терминальный доступ для работы с 1С 8 файловый вариант (работают в среднем 35 пользователей), плюс этот сервер использует как файловый и сервер печати. В дальнейшем с покупкой нового сервера, я хочу ввести домен уже с использованием старого сервера. То есть "новый" будет - терминальный, "старый" - контроллер домена. Как вариант рассматривается такая структура: на одном физическом сервере под Hyper-V поднять контроллер домена, и какую-нибудь файлопомойку (на Linux)... Хотелось бы получить Ваш совет о том, как лучше сделать: то ли поднимать виртуалки на сервере, то ли физически делать контроллер домена и его "резервника". Поясню, что сервер терминалов будет использоваться только для работы с 1С, контроллер домена понятно зачем, ну и плюс общие ресурсы на Linux.

[Rezor666]

Контролер домена на виртуалке больше на бред похоже. И вы хоть конфиг сервака приведите.

[cortes_]

Я поэтому и спрашиваю совета, стоит ли так делать. Потому что опыт внедрения подобных решений мне уже встречался, и сильно никто не жаловался
Конфигурация сервера примерно такая:
Intel Xeon X5650 2.66GHz(6 Cores), 12MB L3 Cache, HT, 6.4GT/s QPI, 95W
4*4096MB Kingston DDR3-1333 Registered ECC
4* SATA 3,5" WD VelociRaptor 450 Gb 10000 RPM 32Mb Cache
Intel Pro/1000 PT Gigabit Server Adapter

[DmitriiV]

cortes_, в самом общем случае вариант с виртуализацией дешевле, но аппаратно менее надёжен. Вариант без виртуализации - наоборот. Выбирайте, что для вас более подходит.
Если основываться на указанной примерной конфигурации сервера, то можно сказать, что использовать такое "железо" только под контроллер домена (причём - единственный) - явное расточительство (так сказать,- стрельба из пушки по воробьям). Следовательно, виртуализация напрашивается сама собой.
При любом решении для отказоустойчивости инфраструктуры "поднимите" в домене ещё и дополнительный контроллер (хоть виртуальный, хоть физический).

... больше на бред похоже...Очень хотелось бы увидеть толковое (и без эмоций) обоснование данного заявления.

[Rezor666]

DmitriiV, Ну наверное потому что лучше 1 физический и 1 резервный хоть на виртуалке.
А так же стоит почитать это (http://support.microsoft.com/kb/888794/ru) и это (http://technet.microsoft.com/ru-ru/library/dd348476(v=ws.10).aspx).
Короче я для себя решил что лучше на реальной машине делать АД а на виртуальной лишь резервный.

Ну и как минимум если хакер получает доступ к серваку с hyper-v то вы более не админ.

[DmitriiV]

Rezor666, Ваши предпочтения и их основания понятны, но из них никак не следует, что виртуализация для организации контроллеров - это бред. Есть достоинства, есть недостатки, а вот бреда не видать.

... если хакер получает доступ...Если хакер получает доступ к AD с соответствующими полномочиями, то совершенно неважно на каких контроллерах она "крутится" - виртуальных или физических.

[Denis Dyagilev]

Предлагаю использовать бесплатный Hyper-V Server 2008 R2 в качестве недоменного гипервизора (во избежание проблем с аутентификацией при рестарте физического хоста) для размещения виртуального контроллера домена с приоритетом старта в первую очередь, и далее ВМ с другими необходимыми ресурсами.

Rezor666, объясните сермяжную мысль, в чем глобальное отличие "получением хакера" доступа к физическому Hyper-V и к физическому же AD DS? В любом случае у Вас инфраструктура скомпрометирована.

[Rezor666]

Denis Dyagilev, Даже если хакер получит доступ к АД DS то он не сможет с собой забрать сам сервак, максимум разнести его и парализовать работу сотрудников, а так можно просто забрать VHD без палева и выйти и если это на выходных то есть шанс что админ даже не узнает.

[cortes_]

использовать такое "железо" только под контроллер домена (причём - единственный) - явное расточительство (так сказать,- стрельба из пушки по воробьям) »
Новый сервер будет использоваться дополнительно как сервер терминалов . Контроллер домена опять же на НОВОМ сервере я хочу сделать на виртуалке, а вот СТАРЫЙ (который у меня сейчас задействован) я хочу использоваться как резервный контроллер. Такую схему в итоге хотелось бы видеть

[DmitriiV]

cortes_, процитированный Вами фрагмент был репликой на это размышление:
... то ли физически делать контроллер домена и его "резервника"...
Коль скоро Вы хотите использовать одно и то же "железо" для создания разных инфраструктурных единиц (DC, TS, FS), то единственная возможность для этого - виртуализация.

[Denis Dyagilev]

Denis Dyagilev, Даже если хакер получит доступ к АД DS то он не сможет с собой забрать сам сервак, максимум разнести его и парализовать работу сотрудников, а так можно просто забрать VHD без палева и выйти и если это на выходных то есть шанс что админ даже не узнает »
Дальше-то что, после "выноса VHD"? Маппинг vhd через диспетчер дисков и бесконечные попытки выудить данные из AD?

Да, и Вы не находите, что физический прямой доступ злоумышленника к инраструктуре уже ЧП? -)

[Rezor666]

Denis Dyagilev, Эм, я не слова не говорил про физический доступ к серверу, вы видимо меня не верно поняли.
бесконечные попытки выудить данные из AD? »
Хм, почему бесконечные?

[Denis Dyagilev]

Нет, Вы сказали, что
так можно просто забрать VHD без палева и выйти
-)

Окей, какие Вы данные получите при компрометации виртуального контроллера домена и в чем в целом это будет отличаться от компрометации физического сервера?

[Rezor666]

Нет, Вы сказали, что »
И выйти из системы я имел ввиду.
Т.к судя по всему виртуализация у него будет лишь как одна из ролей сервера а так на сервере будет RDP.
Т.к я не думаю что на виртуалке будет использоваться какое либо шифрование то думаю что сбросить пароль локального админа не такая уж и проблема.
А вот если сервер AD физический то
1- Надо будет угадать пароль администратора домена или локального.
2- Не будет никакой возможности сделать образ системы не перезапуская ее.
3- Если не поднимать RDP на сервере AD то остается только физический способ взлома сервера.

[Denis Dyagilev]

На контроллере домена есть локальный администратор?

Безопасность виртуальной машины определяется безопасностью узла.

Так чем отличается в таком случае безопасность виртуального и физического контроллера домена? -)

[Rezor666]

Denis Dyagilev,
А что нет что ли? Когда 1 сервер в одной компании с AD сдох со всеми учетками домена) (криворукость прошлого админа)
То выхода кроме как локального админа не было. И с помощью live-cd спокойно его получили.
Правда было это на 2003 серве но думаю это мало что меняет.

[Denis Dyagilev]

Еще раз - чем в таком случае безопасность виртуального DC хуже физического? При доступе к оборудованию, на котором работает ОС с AD DS? Если "хакеры", "Live CD" и "криворукость"?

Да - локального администратора как такового нет на контроллере домена. Есть администратор для DSRM. Это разные вещи.

[Rezor666]

блин опять вы меня не поняли.
Безопасность виртуального хуже тем что можно забрать VHD и все, делай с ним что хочешь.
Если доступ физический то похрену что виртуалка что физический DC.
Если взлом удаленный то доступ к самому новому серверу не дает хакеру доступа к AD т.к это 2 разных сервера.

Denis Dyagilev, При чем тут DSRM, был получен именно локальный админ.

[exo]

Безопасность виртуального хуже тем что можно забрать VHD и все, делай с ним что хочешь. »
кто мешает сделать бекап физического сервера и делать с ним что хочешь?


был получен именно локальный админ. »
локального администратора как такового нет на контроллере домена »