INVESTOX-Forum

Hoi Guiseppe

Zu Hetzner kann ich nix sagen, weil ich wo anders hosten lasse. Aber dazu:

Zitat von »Giuseppe«

Wie ist es mit dem Netzwerk? Laut Informationen im Internet brauche ich eine VM die Rolle des Routers übernimmt.

Ich bin noch auf ESXi 5.5 und verwende zu diesem Zweck die UTM 9 von Sophos; schau Dir das mal an, sollte auch mit der ESXi 6.5 funktionieren.

Ist nicht nur eine Firewall wie der Name suggeriert, sondern ein kompletter virtueller Router mit allem Schnickschnack incl. OpenVPN zu Deinen geplanten virtuellen Maschinen. Und es gibt ein gutes Forum (deutsch und englisch) im Falle von Fragen / Unklarheiten.

Hallo Guiseppe

Zitat von »Giuseppe«

Bei der Installation habe ich festgestellt, dass

Zur Verwendung mit vSphere installiert man da nix. Stattdessen gibt es ein VM Image von Sophos direkt zur Verwendung mit vSphere (such mal auf deren Donwload Seiten), welches man importieren kann. Das startet man dann einfach an (Autostart in ESXi konfigirieren und dieses Image als erste VM anstarten) und kann dann alles über ein Web-Interface konfigurieren.

Zitat von »Giuseppe«

... find ich gut, dass es kein zusätzliches Betriebssystem für den Betrieb benötigt ...

Jaaaa, das eben erwähnte UTM 9 Image läuft unter Linux. Allerdings kannst Du alles bequem via Web-Interface konfigurieren, der shell access zu dieser VM ist nicht nötig (aber möglich mit ssh, z.B. putty).

Zitat von »Giuseppe«

Netzwerkkarten ...

Genau, eine physische Karte ist ausreichend. Dazu konfigurierst Du in der vSphere ein- oder mehrere virtuelle Netzwerke.

Z.B. ein virtuelles Netzwerk für Deine Investox Maschinen (Produktion, Paper, Analyse- VM's) und die Verwaltung Deiner vSphere selbst und ein weiteres virtuelles Netzwerk (DMZ, De-Militarisierte Zone) für eine Investox-Umgebung, welche Du auch mal unterwegs verwenden willst um jemand Investox zu zeigen - ohne dass der Teilnehmer-Kreis einer solchen Session irgenwas über Deine interne Struktur mit der Produktions-Umgebung erfährt. In die DMZ kannst Du auch z.B. eine Linux-Installation einbringen, welche Dir auf Auslandsreisen einen Brücken-Kopf mit einer echten deutschen IP Adresse bietet. Oder eine eigene Cloud usw.

Die UTM 9 konfigurierst Du dann an jeden dieser Adapter ran (dem einen physischen und den virtuellen), so dass sie routen kann. Dann noch die Routing-Reglen im Web-Interface konfigurieren, und Deine VMs sind wie gewünscht am Start.

Tip: miete Dir *zwei* RAID Arrays. Die Produktion bekommt eines, die anderen VM das andere. Meist kann man sich ja heute soviel CPUs mieten wie man braucht - dann ist das RAID der Engpass. Klar kann man alle Resourcen unter ESXi priorisieren, aber die I/Os sind immer ein Engpass. Priosisierung her oder hin: mit zwei RAID geht's einfach besser und nix stört Deine produktive Instanz(en) beim Geld verdienen oder verdünnen ... Ggf. auch zweiten Controller vorsehen ...

.. und wenn Du ne SSD mieten kannst oder eh im Bundle-Preis drin ist, häng' das Ding exklusiv an die Produktion ran für RTT zum Daten sammeln

Benutze selber Virtualbox zum Virtualisieren. Habe gesehen, dass es von vSphere auch eine kostenlose Version Names Hypervisor gibt.
Was ist der Vorteil gegenüber Virtualbox?

Gruss
Trader

Hallo Trader

Zitat von »Trader«

Was ist der Vorteil gegenüber Virtualbox?

Die Virtualbox installierst Du auf ein bestehendes Betriebssystem drauf, richtig? Das ist dann ein Typ 2 Hypervisor.

vSphere ESXi ist dagegen ein Bare Metal Hypervisor, schau mal hier für Grundlagen.

Zitat von »Trader«

Habe gesehen, dass es von vSphere auch eine kostenlose Version

Yep, die kostenlose Version ist für uns Investoxies gut genug (solange man die Lizenzbestimmungen erfüllt, natürlich).

Ich habe ein ähnliches Setup, allerdings nicht bei Hetzner:

Ein gemieteter Bare Metal Server, auf dem vSphere V6.5 installiert ist und auf dem virtuelle Maschinen laufen: eine Windowsmaschine für Investox, eine Linuxmaschine fürs allgemeine Servicing, bei temporärem Bedarf auch weitere.
Da man die Service-Console des vSphere gar niemals nie und überhaupt nicht direkt ans Internet klemmen sollte (das gilt auch für einen evtl. vorhandenen KVM-Zugang), ist im Rechenzentrum per VLAN eine angemietete virtuelle Sophos davor geschaltet. Die VM der Sophos läuft also ausdrücklich nicht auf dem Server, den sie schützen soll. Das hat den Vorteil, dass das RZ im Zweifel die VM der Sophos gezielt neu starten kann, wenn das notwendig sein sollte. Läuft diese VM auf dem eigenen Server, kann das RZ nichts machen - höchstens den ganzen Server durchbooten. Gleiches gilt, wenn es Probleme beim Starten der Sophos-VM gibt. Das sollte man im Hinterkopf behalten, wenn man seine Architektur plant. Allerdings kam ein Durchbooten der Sophos bisher sehr selten vor (ich meine ein mal in 6 Jahren oder so).

Von meiner FritzBox habe ich ein Router-To-Router-VPN zur Sophos eingerichtet, so dass ich von zu Hause aus direkt an die VMs auf dem Sever kann. Das hat wiederum den Vorteil, dass ich die ganzen sonst notwendigen Freigaben in der Sophos nur im Notfall aktivieren brauche. Hinweis: Die CPU der Fritzbox ist für VPN nicht ausgelegt, die maximale Übertragungsrate ist nicht besonders hoch. Ich wollte immer mal Vergleichsmessungen zu einem VPN-Client auf dem PC machen, konnte mich aber letztlich noch nicht dazu durchringen....

Ach ja: Wenn du die Sophos nimst, dann konfiguriere recht zügig das GeoIP-Blocking. Ich habe bei mir fast alle Länder eingehend und ausgehend geblockt, die für IB notwendigen Länder nur ausgehend freigegeben und Deutschland und aus bestimmten Gründen (weil da ein Exitknoten einer bestimmten Internetverbindung liegt) noch ein weiteres Land für eingehenden und ausgehenden Verkehr freigegeben. Das GeoIP ist der normalen Firewall vorgeschaltet, dh. damit schneidest du schon geschätzt 98% allen Übels weg. Die freigegebenen Länder werden anschließend noch mal durch die normale Firewall gefiltert, so dass man hier immer noch eingreifen kann - und sollte.

So ein Setup kann Spaß machen, das zu planen und einzurichten. Dann kann man sich da richtig austoben. Wer da eher auf Kriegsfuß mit steht, der sollte allerdings den Aufwand dafür nicht unterschätzen. Mal eben so das alles ans Laufen bringen, das ist nicht. Da geht schon etwas Zeit ins Land, bis alles passt.

Hallo zusammen

Zitat von »paxromana«

dann konfiguriere recht zügig das GeoIP-Blocking

Im Prinzip stimme ich dem zu und verwende es ebenfalls.

Weltenbummler müssen allerdings aufpassen wie ein Elch, sonst schiesst man sich locker mal ins Knie. Dies sind einige meiner Erfahrungen dazu:

1) Zur Reisevorbereitung gehört bei aktiviertem GeoIP-Blocking, dass man die Länder freischaltet, in die man reisen will; nach einer Reise muss man dies entsprechend wieder zurückbauen
2) Und zwar nicht nur die Länder, in die man reisst; man muss auch entlang der Flug- oder Schiffsroute Länder freischalten, in die man u.U. umgeleitet wird, wenn es Probleme gibt. Sonst guckt man in die Röhre, wenn man z.B. nach einer Flug-Umleitung ein paar Stunden oder mehr Aufenthalt in einem "ungeplanten" Land hat
3) Wenn man auf der Tour nur mit einer Satelliten-Verbindung ins Internet kommt wird es knifflig. Dies ist z.B. bei langen Schiffstouren (Segel-Törn, Kreuzfahrten usw.) der Fall mit vielen See-Tagen. Oft weiss der Anbieter der Reise nicht einmal, in welchem Land die IP-Adresse des Satelliten-Knotens lokalisiert ist bzw. die Mitarbeiter verstehen die diesbezüglichen Fragen kein bisschen.

In dem Fall braucht
a) einen remote erreichbaren Rechner in einem Land, welches nicht geblockt ist auf der Sophos und der selbst auch keinem GeoIP Blocking unterliegt
b) Software- und entsprechende Kenntnisse, um dann auf der Reise die Geo-Zuordnung des Satelliten-Knotens zu finden und dann auf der Reise selbst via 3a) das entsprechende GeoIP Blocking aufzuheben

Alternativ kann man bei 2) das GeoIP Blocking für die Dauer der Reise natürlich auch ganz abschalten, ist halt nicht so raffiniert wie 3a und b und öffnet Angriffs-Flächen, die man vorher noch nie gesehen hat - weil man ja das GeoIP Blocking an hatte. Dann muss man unterwegs u.U. die entsprechenden Angriffs-Zenarien bekämpfen ...

Verwendet man unterwegs in den Ländern diverse WiFi Connections, z.B. weils es an Bord nicht mit dem Satellit geklappt hat: oftmals werden VPN Verbindungen blockiert, wie Z.B. in China oder manchen Inseln in Oceanien. Hier hat es sich bewährt, mehrere verschiedenartige VPNs eingerichtet zu haben (IPSec-VPN, OpenVPN usw.) und dazu 3a. Oft wird nämlich nur eine Art VPN geblockt, andere gehen. Oder der Umweg über ein VPN in ein anderes Land geht usw.

Apropos Inseln, da kann es auch sein, man hat im Vorfeld der Reise gut recherchiert und herausgefunden, zu welchem Land die Inselgruppe gehört, hat das GeoIP Blocking entsprechend deaktiviert und sitzt dann dort in einem Cafe oder in einem Hotel, hat Free-WiFi - aber kann nicht connecten. VPN ist nicht blockert. Warum geht es nicht?, ah die Inselbewohner haben sich einen Richtfunk-Verbindung zum nahen Festland / Nachbarland eingerichtet, jedoch dies hat eine andere Geo IP Adress-Range ... dumm gelaufen.

Internationale SIM Karten / Prepaid Karten: es gilt analog, was ich zu Satelliten Verbindungen geschrieben hatte. Man weiss im Vorfeld nie (und kann es auch kaum mit Sicherheit in Erfahrung bringen), welche Geo-IP Adresse man am Ziel bekommt. So war ich in Indien mit meinem Dual-Sim Smartphone unterwegs, kam nicht auf meine Sophos-geschützen VM mit der günstigen Prepaid-Karte, die ich besorgt hatte. Die 3b Untersuchung ergab, die Sim-Karte buchte sich irgendwo in London ins Internet ein - und UK hatte ich vor der Reise leider nicht freigeschaltet. Das war im Norden Indiens, im Süden könnte es statt dessen Lisabon sein, wenn ich mir die Kolonial-Geschichte in Erinnerung rufe ...

Fazit,
* wer ein wenig mehr reist als nur in der EU muss sich auf alles gefasst machen und sich viele verschiedene Wege zu seinem Rechner präpaieren
* GeoIP Blocking ist für Weltreisende jedenfalls eine interessante zusätzliche Komponente