home server -> xen... fragen

[nini_knoxville]

Hi,

ich hoffe ich poste hier im richtigen Forum. Ich plane, in nächster Zeit mir endlich einen Home-Server zuzulegen, damit der Wildwuchs an Festplatten usw in meiner Workstation zuhause ein Ende hat.

Der Server soll schon ein vernünftiges Maschinchen sein, ich denke an einen Core i5 (wegen aes-ni), 16gb ram (kostet ja nichts mehr), 8x 2tb Festplatten im RAID 5 oder 6 an einem HW-Controller, irgendeine System-Festplatte und insgesamt 4 Netzwerkkarten (3x aktive Intel 1gbit, 1x 08/15). Soweit zur hardware...

Ich habe bisher rudimentäre Erfahrungen mit Linux und VM's, allerdings nur mit vmware (Player und Workstation). Von xen habe ich bisher nur gehört. Soweit ich weiß, ist xen ja ähnlich wie vmware esx, also das Wirt-System bootet ja in einen speziellen xen-Kernel.

Was ich nun vor habe: Debian 6 installieren, das dicke RAID am liebsten per lvm einbinden und direkt verschlüsseln (lvm bzw. der crypter kann soweit ich gelesen habe ja aes-ni, dadurch sollte ich wenig Performance verlieren). Dann den xen-Hypervisor installieren und anschließend, auf dem Wirt-System einen Fileserver installieren (ggf. samba).

Eine VM soll die Firewall (dns, dhcp, pppeo usw) bzw. mein Router werden. Deswegen habe ich mir gedacht, das ich die 4 Netzwerkkarten wie folgt an die VM binde:
- 1gbit -> LAN (z.b. 192.168.0.0/24)
- 1gbit -> DMZ (z.b. 192.168.1.0/24)
- 1gbit -> WLAN (z.b. 192.168.2.0/24)
- 100mbit -> Router /pppeo

Das Wirt-System soll nur die LAN-Netzwerkkarte konfiguriert haben.

Die anderen VM's, z.b. Webserver, würde ich nur an die DMZ-Netzwerkkarte binden wollen, also kein direkter Zugriff auf das LAN. Meine Access-Points an WLAN, logisch. Das routing usw soll die Firewall-VM erledigen.

Am LAN-Port hängen dann physisch meine Workstations und andere Computer.

Damit will ich z.B. erreichen, das ich ausreichend, sicheren (RAID) Speicherplatz für all meine Computer habe (Backups, Fotos usw) und alles im netz speichere. das ich mehr Kontrolle über mein Netz habe, dank der Firewall-VM und mehr Spielraum für andere VM's oder Services habe, ich aber Strom und Platz spare, da alles auf einer, potenteren Maschine läuft.

Ist das soweit möglich? Mache mir die meisten sorgen um die Sicherheit der Firewall, aber das sollte okay sein, es gibt ja genügend Firewall Appliances etc und, ob das RAID und der Fileserver unter dem xen-Kernel laufen und ob das eine gute Idee ist? Würde die VM-Daten auch auf dem RAID speichern und z.B. Backups von den Konfigurations-Dateien auf dem RAID vornehmen. Das RAID sollte ja sicher sein, falls eine Festplatte kaputt geht oder die System-Festplatte und ich das ganze System neu aufsetzen muss.

Ích hoffe, mich verständlich genug ausgedrückt zu haben....

 

[linrunner]

Hi,

man kann das sicher so machen. Ich würde allerdings aus Sicherheitsgründen davon abzuraten, private Daten - immerhin sind sie dir eine Verschüsselung wert - auf derselben Hardware zu speichern, auf der auch mit dem Internet verbundene Dienste Firewall/Router/Webserver betrieben werden. Virtualisierung hin oder her. Es muß ja gar nicht mal eine Sicherheitslücke sein, eine kleine Panne bei der Konfiguration reicht schon für dein persönliches "Wiki Leaks".

Als Alternative würde ich vorschlagen die Daten auf einem NAS zu speichern. Synology ist z.B. sehr komfortabel - das will man garnicht mehr selbst machen, wenn mans mal gesehen hat - und verschlüsselt auch. Für den Internetteil kannst Du z.B. ein Alix Board verwenden, dort kannst Du dich dann mit Debian austoben. Habe mit beiden Fabrikaten sehr positive Erfahrungen.

 

[bjoernse]

xen hat auch schon ein ablaufdatum. zur zeit würde ich nur mit kvm virtualisieren. einfach zu erlernen und sauschnell.

und yo, wenns sensible daten sind, dann weg von der maschine mit ner dmz...hat dann auch den vorteil, dass du nen storage fürs backup der vms schaffst.

just because you are paranoid, doesn´t mean they are not after you!

 

[nini_knoxville]

ja das mit den privaten daten habe ich mir auch schon überlegt. am liebsten hätte ich ja ein san . problem mit den nas'n ist einfach, das die in der preisklasse < 500€ meistens nur 4, vllt 5 platten vertragen und keine wirkliche leistung bieten, wenn aes verschlüsselt wird. also 50mb/s wären schon schön... würd den server ja z.b. auch ggf. als terminal nutzen wollen, leistung hat das ding ja genug... theoretisch.. mehr als meine derzeitige workstation (q6600 bei 3.4ghz)... da ist die verschlüsselung mit truecrypt schon irgendwie bremsend. laut benchmark liege ich bei ~450mb/s.. 100% cpu... im täglichen ist die leistung okay... je nach festplatte 70mb/s.. aber bei 20% cpu auslastung.. da macht mein x220 mit dem i5 schon eine bessere figur (~2 gb/s)

 

[linrunner]

SAN ist um Clients separate Volumes zu Verfügung zu stellen, nicht für Shares. Die besseren NAS können alle iSCSI; ich nutze das um clientseitig zu verschlüsseln (LUKS/dm-crypt unter Ubuntu), weil der Marvell-Prozessor in der DS211 in der Tat nicht schnell genug ist dafür. Ist aber eben nur für Backups nicht als Share brauchbar.

Sind die von dir genannten Durchsatzanforderungen "benchmarkgetrieben" oder hast Du tatsächlich Anwendungen die ständig diese Performance fordern? Das eigentliche Limit stellt doch eh das Gb-Ethernet dar. In der Praxis kommst Du da wahrscheinlich über 70 - 80 MB/s nicht hinaus.

 

[Myon]

SAN ist um Clients separate Volumes zu Verfügung zu stellen, nicht für Shares. Die besseren NAS können alle iSCSI; ich nutze das um clientseitig zu verschlüsseln (LUKS/dm-crypt unter Ubuntu), weil der Marvell-Prozessor in der DS211 in der Tat nicht schnell genug ist dafür. Ist aber eben nur für Backups nicht als Share brauchbar.

Ist jetzt zwar ein wenig OT, aber wie groß ist den der Durchsatz bei dir, wenn du LUKS über iSCSI verwendest? Das wäre vielleicht die Lösung für meine GoFlex Net (mit Debian Squeeze und aes-xts-plain)

Ich habe bisher rudimentäre Erfahrungen mit Linux und VM's, allerdings nur mit vmware (Player und Workstation). Von xen habe ich bisher nur gehört. Soweit ich weiß, ist xen ja ähnlich wie vmware esx, also das Wirt-System bootet ja in einen speziellen xen-Kernel.


Ist das soweit möglich? Mache mir die meisten sorgen um die Sicherheit der Firewall, aber das sollte okay sein, es gibt ja genügend Firewall Appliances etc und, ob das RAID und der Fileserver unter dem xen-Kernel laufen und ob das eine gute Idee ist? Würde die VM-Daten auch auf dem RAID speichern und z.B. Backups von den Konfigurations-Dateien auf dem RAID vornehmen. Das RAID sollte ja sicher sein, falls eine Festplatte kaputt geht oder die System-Festplatte und ich das ganze System neu aufsetzen muss.

Ích hoffe, mich verständlich genug ausgedrückt zu haben....

Da du selbst zugibst, dass du dich mit Linux und Server-Virtualisierung nicht so gut auskennst, wäre ich da sehr vorsichtig, insbesondere wenn dein Server auch noch direkt mit dem Internet verbunden sein soll. Es gibt zwar in der Linux-Welt genug Lösungen füŕ deine Anforderungnen, diese müssen aber sehr sorgfältig konfiguriert werden. Um alleine den Webserver (Apache) oder die Firewall (iptables) wirklich sicher zu konfigurieren, braucht man schon sehr viel Hintergrundwissen und Erfahrung, oder eben die Zeit und Ausdauer, um sich durch Bücher und Manpages durchzubeißen. Dazu kommen noch Serverüberwachung (z.B. SNMP), Log-Auswertung usw. Im Allgemeinen besteht immer die Gefahr, dass man als Linux-Neuling das Ganze entweder irgendwie aber alles andere als sicher hinbekommt, oder aber einfach frustriert aufgibt. Daher würde ich mich linrunners Vorschlag anschließen, einfach ein gutes NAS-System (z.B. von Synology) zu kaufen.

Wenn du schon unbedingt einen eigenen Linux-Server haben möchtest, dann bitte so, dass der nur in deinem LAN sichtbar ist, d.h. keine DMZ und keine Portweiterleitungen. Dass sollte eigentlich jeder guter Router mit einer integrierten Firewall beherrschen. Dann kannst du nämlich ruhig experimentieren, ohne die Angst haben zu müssen, dass jemand deinen Server hackt.

 

[TP-Tim]

Hy,
prinzpiell ist bei Deinen Anforderungen und einer Umsetzung unter Linux mehr als nur ein wenig Erfahrung notwendig. Die Sicherheit, auch mit einer DMZ, ist via XEN bzw. virtuellen Maschinen möglich, aber eben nur bei richtiger Konfiguration. Die Überwachung der Maschine mit allen VMs sollte dabei auch nicht zu kurz kommen. Verschlüsselung innerhalb einer VM oder auf dem Host ist beides möglich. Kommt zwar nicht an ein SAN ran, aber für ein normales Netzwerk für zu Hause auch mit Small-Office reicht aus.
Das größte Problem ist bei der Konfiguration zu sehen, und der anschließenden Wartung des Systems. Kleine Fehler können die ganze Mimik zum Absturz bringen oder die Sicherheit gefährden. Wenn Du es wirklich so machen willst, solltest Du zu allererst Erfahrungen mit VMs und Linux etc. sammeln.

Just my 2 cents
Tim

 

[nini_knoxville]

mit den erfahrungen meinte ich eigentlich linux in verbindung mit vm's als host (ergo vmware -> xen), vllt war das etwas unklar. ich bin immernoch am überlegen und planen... ich halte euch auf dem laufenden

 

[Myon]

mit den erfahrungen meinte ich eigentlich linux in verbindung mit vm's als host (ergo vmware -> xen), vllt war das etwas unklar. ich bin immernoch am überlegen und planen... ich halte euch auf dem laufenden

Jepp, kam tatsächlich so rüber als hättest du nur wenig Ahnung von Linux und wolltest einen komplizierten Server aufsetzen. Sorry.

Also wenn ich dich richtig verstehe, möchtest du, dass dein Server im Heimnetz als Firewall fungiert. Als Router auch? Irgendwie halt ich das für keine so gute Idee. Für weniger als 100 Euro bekommt man schon sehr gut ausgestattete Linux-Router (z.B. ASUS RT-N16), die kaum Wünsche offen lassen (Gbit Switch, 802.11N, USB, richtige iptables Firewall usw.). Wenn auf dem Router Linux drauf läuft, hast du im Grunde genommen unbegrenzte Kontrolle über dein Netz, und kannst alles so einstellen wie es dir passt. Zugleich kannst du damit sicherstellen, dass dein dedizierter Fileserver im Internet überhaupt nicht sichtbar (auch im Falle einer Falschkonfiguration) ist, was die Sicherheit der Daten stark erhöhen dürfte. Bei meinem Asus WL500GPv1 heißt die Einstellung WAN to LAN Filter, wobei nicht angeforderte Packete gedropt werden und keinerlei Ports nach außen sichtbar sind. Auch kannst du dann an dem Server so viel basteln wie du lustig bist, ohne das gleich die Firewall/Routing-Funktionen in deinem Netz beeinträchtigt werden.