Какой сервер собрать для офиса в 15пк?Какое ПО использовать для резервирования?

Question

[Lion295]

Добрый день.

Имеем на сегодняшний день следующую архитектуру:
Интернет-router-сервер(Пк руководителя,обычная винда, с расшареным диском и usb-стиком от 1с)- swith-15пк

Желаемо:
Интернет-router-linux server( который исполняет роль firewall, файлового хранилища, и удобной системой резервного копирования.) - swith - 16 пк ( включая пк руководителя, в который воткнута usb 1c, чтобы давать ключи всем в сети)

Что нужно от сервера:
-Стабильность работы 24/7/365
-Тишина работы ( серверной нет )
-Уверенная пропускная способность, чтобы хватало для работы в 1с и не глючило
-Умение делать RAID

Вопросы собственно в следующем:
-Какое железо подобрать?
-Какое ПО использовать для Firewall и резервного копирования
-Как не потерять OEM лицензии windows на машинках (Реально ли делать полный бекап образа диска и потом его развернуть обратно?)

Comments

[Виктор Таран]

возьмиет дешевый управляемый роутер.
Или роутер леер 2
90% из того что вы назвали там будет работать.
А рэйд заменит система бэкпирования настроек, да и стабильность их работы вполне себе.
А вот по такому аптайму компьютер вам выйдет реально дороже.
А главное сильно удорожит ПК
Хранилище так же можно взять недорогое, они по сути сейчас все рейд поддерживают.
ТАк же у хранилищь есть вои утилиты, которые позволяют пркоидывать впн на клиентов,
по сути ставишь програмку на клиенте получаешь сразу вход в сеть с этого компа.
Мельч а приятно
Виндовс 10, расшарь терминальный сервер ( это даже не крак) и все
В итоге
1. Упрравляемый роутер - апаратное решение. и не советую мудрить, особо с дорогими ибо толку оно вам не даст а будет стоить дороже да и в настройке трудней.
2. Сетевое хранилище с подключением по RJ45 избавит вас от компа.
3. Терминальный сервер (патч винды) , ну а если у вас виндовс сервер то тем более, при том использвйте не RDP а RDG поскольку он сразу сеть пркоидывает, да прекрасноработает с компами за сетью.

[Adamos]

Виктор Таран: кряк винды вместо сервера, мощное сетевое оборудование для SOHO, общая безграмотность текста. Да, все сходится...

[Виктор Таран]

Adamos: Видел я ваши "не стиральные порошки"
AD -пихаете куда только не лень, не умея его толком Админить.
Эксчендж , не отличая DKIM от SPF. Ну и как финальный пик вездесущая винда с керио фаерволом, да рейд на дешевом контроллере.
Как следствие аптаймом 98% а то еще хуже.

Однако не вижу вашего предложения, гений вы наш.

[Adamos]

Виктор Таран: Боюсь, у вас проблемы не только с письмом, но и с чтением.

Answer 1

[Дмитрий Александров]

Для роутера и фаирвола идеально будет каконйнибудь mikrotik. Настроете и забудете про него, если что то вдруг случится то меняется на другой mikrotik и заливается конфигурация. Настраивается удобно, стабильный.
Для фалопомойки абсолютно любая самая дешевая материнка с самым дешевым камнем с гигабитной сетевой и парой сата2\3 портов. В роли OS freeBSD, в роли fs использовать zfs. Проблема с рейдом сразу решена. За глаза хватит даже неттопа или mini\micro itx мамки даже с атомом но лучше селероном.
Насчет резервирования. Как заметили выше не стоит резервировать все на тех же серверах. Первая причина отказоусточивость, 2я это бюджет. Есть другая схема более изящная для начала:
1) Покупаем место в облачном диске(ядиск идеален т.к. умеет webdav). К примеру 1тб в месяц стоит что то около 200 рублей что сущие копейки.
2) Цепляем ядиск в файлопомойку.
3) Пишем пару простых скриптов(очень важный бэкап и не особо важный но нужный).
3.1) Скрипт "очень важный бэкап" запускается n-раз (раз в сутки ночью например) и копирует на ЯД все особо важные файлы(к примеру базы 1С, что то бухгалтерское)
3.2) Скрипт "не особо важный но нужный" запускается раз в неделю\месяц и делает полный бэкап всех документов и т.д.
4) После того как все настроили делаете к примеру акронисом или чем угодно удобным вам образ винта сервера и критически важных машин(бухи\бос) и прожигаете на болванку.

1) В конечном счете сеть контролируется mikrotik'ом который удобен в настройке и очень быстро можно заменить даже без знаний настройки путем разворачивания конфигурации.
2) Файловая помойки живет хорошо и в нужном рейде. Даже если подохнет то критически важные файлы для работы прям щас и сейчас будут доступны на нужных машинах через ЯД. После устранения проблем с сервером все вернутся в штатный режим
3) Бэкапы лежат не у вас и не надо переживать о их сохранности.
Все железо занимает крайне мало места, роутер микрота мал и тихий, файлопомойка собранная на холодном камне и за копейки может быть с пассивным охлаждением. Все максимально бюджетненько и даже в случае поломки в огромные деньги и простой не выльется.

Comments

[Adamos]

Вообще-то, начинать знакомство в БЗДей с настройки боевого сервера бухгалтерии - это, имхо, смело до неразумия...
Плюс облака - спасет от потери данных в случае пожара в здании, при котором пострадают все компьютеры.
Минусы - можно список составлять. Труднее делать машину времени (а с шифровальщиками она стала актуальной). Сложнее контролировать утечку этих данных. Бэкап доступен, только если есть интернет. Да еще и платить за это? Смысл?

[Дмитрий Александров]

Adamos: Насчет бухгалтерии условия не было написано, сказано только файловая помойка и бэкапы с шлюзом\фаиром =)
С бэкапом в облако много достоинств для малых организаций т.к. не надо содержать огромный дорогущий сервер, не надо его обслуживать, не надо держать штатного админа гуру который будет в нем что то колхозить после чего не разберется его приемник гуру и будет строить колхоз заново(помним что мы платим 200р в месяц вместо содержания гуру\серверов и т.д.). Насчет шифровальщиков, ну можно монтировать облако только в момент бэкапа и размонтировать его по окончании. Утечка данных(если вы к тому что это гдето у яндекса и могут угнать диск) тоже легко устранима, поверх webdav яд прикручиваем encfs и дело в шляпе, даже если выкачают все при все то ничего это им не даст. Насчет интернета, ну я не видел уже лет 10 чтобы хоть в какойто организации не было интернета, да и вообще если понадобились бэкапы то вероятно "хъюстаан у нас проблемы" и говорить о том что все быстро разрешится точно не стоит(даже если все пожрал вирус-вымогатель-шифрователь то придется во первых везде его вычистить а за это время тот же директор сможет дома выкачать весь бэкап и подвести на работу).

В целом:
1) либо платить очень много бабла за содержание всего зверопарка у себя(сервера\специалисты\куча лицензий на специализированный софт) но при этом все у вас, готовность пара минут и т.д.
2) либо платить заметно меньшую сумму пользуясь сторонними готовыми и стандартными средствами. Опять же микротик он и в африке микрот и настраивается всегда одинаково и даже через 5-10 лет вы спокойно зальете старую конфигурацию и все заработает. Те же облака гарантируют вам сохранность данных(скажем так с возможными камнями =) ) и будет не страшно если офис сгорит(хотя если сгорит то будет не до бэкапов). Для просто файлопомойки на freebsd особых знаний не нужно так же как и рейд поднять на zfs(пара часов почитать как это работает и за 10 минут поставить фряху, сделать зпулл нужный и поставить на нее 1 командой самбу с конфигурацией в 10 строк). С виндой на сервере для файлопомойки больше проблем будет т.к. нужно намного более мощное железо, больше знаний и туториалы не помогут чтобы рейд поднять.

[Adamos]

Дмитрий Александров:

огромный дорогущий сервер

O RLY?

помним что мы платим 200р в месяц вместо содержания гуру\серверов

А бэкап в облако сам настроится и сам будет обслуживаться? И разберется в том, как он сделан, любая секретарша?

директор сможет дома выкачать весь бэкап

Вот именно. И ответственный за бэкап может. Дома. Даже если его накануне уволили. Начальству не так легко будет понять и принять, что запертый офис совсем не означает, что доступа к внутренним данным нет.

куча лицензий на специализированный софт

На cron / rsync? Блин, разорюсь...

[Дмитрий Александров]

Adamos:

O RLY?

Очень даже rly.

А бэкап в облако сам настроится и сам будет обслуживаться? И разберется в том, как он сделан, любая секретарша?

Настраивается даже чайником по мануалу. Обслуживание в чем? в том чтобы зайти в облако и по заполнении снести %dd_mm_yy_folder% старую мышкой в браузере? Или Вы предлагаете купить кучу железа, купить лицензию commvault, обучить персонал им пользоваться, все это поставить и настроить и еще и обслуживать?

Вот именно. И ответственный за бэкап может. Дома. Даже если его накануне уволили. Начальству не так легко будет понять и принять, что запертый офис совсем не означает, что доступа к внутренним данным нет.

Априори если у вас есть тот кто имеет доступ к данным(сисадмин\директор\секретарша\ответсвенный за бекап\бух\рядовой сотрудник) то он может их утащить на флешке\винте\скинуть по почте или себе на облако. Так что Ваш ответ совсем не к месту и скорее относится к безопасникам в конторе если они вообще есть.

На cron / rsync? Блин, разорюсь...

Это какраз то о чем я и говорил что делается скриптом в пару строк даже чайником по мануалу без лишних геморойностей. А так если любопытно что покупают : commvault,acronis, Zetta, mozzypro, crashplan, carbonite evault, storage guard и еще десятка 3 других. Стоит намного дороже чем 200 руб в месяц поверьте.

А вообще можно вообще не париться и тупо купить любой nas в котором все мышкой за 2 минуты насчелкаешь и будет работать, правда вот сдохнет он внезапно и сразу станет непонятно что с ним делать.

[Adamos]

Дмитрий Александров:

А так если любопытно что покупают

Не особенно. Я, как программист, прекрасно понимаю, что под чайника можно гнать софт километрами - и он будет покупаться, даже если его можно заменить один раз написанным скриптом на двадцать строчек и забыть.
Особенно если для чайника компьютер и Винды неразрывны, а задачи должны решаться только специализированными и дорогостоящими комбайнами.

[Adamos]

Насчет чайников - это не переход на личности, это так, облически.
Нам с вами спорить бесполезно - точки соприкосновения искать слишком долго.

[Дмитрий Александров]

Adamos: Я тоже по образованию 2му программист правда работаю в связи. С определением чайников тоже полностью согласен. Этой зимой нам встала задача мониторинг поднять для мультиплексоров "алкаштель люська", протокол стандартный snmp, нужен был только и только визуальный просмотр всех люсек на карте географически(без точных координат) с оптикой и вч каналами между ними в нативной виндовой софтине. mib есть, кажется то затрат купить любой микрот и поставить на него дудку или на обычный комп накатить ros с дудкой. За денек мышкой натыкать объекты и накидать линков. Маркетологи из алкателя сразу включились и прислали своего гремлена который пописал в уши большим начальникам. В конечном счете все вылилось в покупку 2х(2х КАРЛ) серверов за почти лям рублей, в которых купили лицензиюOmniVista VM, внутри которой крутится 1 виртуалка с oracle linux внутри которой стоит серверная сторона(не помню как называется) мониторинга которая стоила тоже беснословных бабок. На винду клиент который работает через раз, настраивалась она это просто финиш по ssh на серваке надобыло ручками в xml конфиге софтины прописывать каждую железку и линки друг к другу(по геокоординатам), подгружать в особо изощренной форме снимок карты(тоже по координатам). В конечном счете убабахали во все это космические деньги ии самое главное, тот кто это все хотел сказал что неудобно, комп тупит когда она програмка открыта и все на анлийском. В конечном счете даже серваки потушили за ненадобностью и запретом их использовать под другие цели. Ну а мы в отделе связи все также дальше пользуемся дудкой на древнем ПК с 4м пнем и 512 метрами озу и пытаемся выбить бюджет на покупку плат(в резерв т.к. менять больше нечем) к этим самым люськам.

[Adamos]

Дмитрий Александров: ну да, классический рецепт многомиллионного контракта: возьмите начальника, полномочия которого превышают компетентность, и уговорите его потратить любые деньги, лишь бы снять с себя ответственность. Особенно хорошо рецепт работает в бюджетных учреждениях.

Answer 2

[CityCat4]

Бюджет озвучьте :) если можно конечно, хотя бы примерно. Потому что одна только система резервного копирования может потянуть выше радуги...

UPD:
Задачу файрволла однозначно на роутер. Лучше конечно микротик, потому что соховские модели - рассчитаны на домашние сетки.
Для всего остального я бы посоветовал Synology/QNAP с таким количеством дисков, на сколько хватит денег. Это по сути линух с графической мордой - при желании можно в нем и консоль нормальную иметь, при отсутствии оного обходиться вебмордой. В нем есть и RAID и файлопомойка на самбе и бэкап (и на самого себя и в облако).
OEM-лицензия - это не свойство компа. Это наклейка на корпусе + бухгалтерский документ на покупку. Ее конечно можно потерять...вместе с корпусом компа :D
А активацию можно не потерять, сделав полный образ диска программой автономного бэкапа типа акрониса.

Comments

[Lion295]

CityCat4 Так вот и не знаю бюджета, давно железками не интересовался

[Lion295]

желательно в 50 000руб, да только думаю не поместимся

[CityCat4]

Lion295: Маловато будет...Если все по чеснаку конечно. Ответ в обновлении

[Lion295]

CityCat4
Про OEM- Если документов ( чеков) нет, и наклеек ( кроме галаграфической, на которой написано только "Windows8") и наклеек с сериными номерами ноутов == нет. Я имею ввиду как раньше на ХР были наклейки большие, там номер лицензии и штрихкод был, так вот таких нет. Значит ли что компания использут не лицензионное ПО?

Как происходит бекап/восстановление акронисом? По сети или нужно физически подключать?

[CityCat4]

Lion295: Главное для проверяющих - это документ, что контора заплатила поставщику Х сумму в Y рублей. Наклейка (маленькая, с номером, что клеится на корпус) тоже важна, но наклейку можно купить "слева". Впрочем тут все будет зависеть от того, насколько дотошно будут копать :)

[Adamos]

CityCat4: в этой стране давно сотрудники одного офиса могут работать в пяти разных фирмах. Для оптимизации. И в этом случае доказать, что именно вот этот оплаченный счет относится именно к вот этим компьютерам, бывает несколько сложнее. Особенно если оплативший как юрлицо вообще больше не существует. Наклейки позволяют подстелить соломки на это место ;)

[CityCat4]

Adamos: Ну да, согласен. Но опять же - в зависимость от того, насколько дотошно будут копать. Потому что в любом случае наклейки появились в результате оплаты какого-то счета :)

[Adamos]

CityCat4: "какого-то" - это уж слишком хорошее место для копания. А покажите-ка счета о покупке этих компьютеров, сверим даты. А сколько у вас вообще офисов? А на чьем балансе техника и почему это другое ООО?..

Answer 3

[АртемЪ]

Роутер - что нибудь из недорогих микротиков, если крутые навороты не нужны пойдет любой SOHO роутер.
Этого гарантированно хватит для такого офиса. Его задача раздавать интернет, если нужно держать VPN, раздавать адреса, работать DHCP сервером, обеспечивать защиту сети, и.т.д. Никакие файловые службы на него вешать не надо.

Сервер - зависит от задач. Для файлопомойки пойдет любая офисная машинка с дисками нужной емкости.
Если у вас 1с - тут уже надо смотреть. Какая архитектура - файловая или серверная, сколько активных пользователей, размер базы. В зависимости от этого требования могут отличаться на порядок, т.е в десятки раз.

Стабильность работы 24/7/365

обеспечивается на любом железе.

-Тишина работы ( серверной нет )

Просторный десктоп с большими и тихими вентиляторами.

-Уверенная пропускная способность, чтобы хватало для работы в 1с и не глючило

Недостаточно информации для ответа.

-Умение делать RAID

Такое умение есть у всех компьютеров на борту которых установлена ОС windows или linux.

-Какое железо подобрать?

Мало информации, нужно конкретизировать задачи, в частности по поводу 1с, так же непонятно будете работать в режиме рабочей группы или в домен всех загонять.

-Какое ПО использовать для Firewall и резервного копирования

Зависит от требований. Если ОС windows - отлично подходит встроенное резервное копирование. Файервол это задача роутера, а не сервера приложений.

-Как не потерять OEM лицензии windows на машинках (Реально ли делать полный бекап образа диска и потом его развернуть обратно?)

Делайте образы дисков - в любой момент вернете состояние диска с активированной виндой. Делается это либо встроенным ПО windows, хотя можно использовать и сторонние утилиты вроде акрониса. Только следует уточнить что так вы сохраните именно активацию виндовс, но никак не лицензии. Лицензии никакого отношения к вашему компьютеру не имеют и на нем не хранятся. Обычно они лежат в сейфе в кабинете юриста.

Answer 4

[other_letter]

Подумайте кто будет этим счастьем управлять. Может, не надо этого линукса?
Есть уйма решений - как от MS, так и готовые сборки на базе линукс/бсд.
Не, я не против этой ОС, масштабы проблем "позвать мальчика-айтишника из соседнего офиса посмотреть" и "у нас сервер на linux, перестало заходить в личный кабинет провайдера, пишет squid чего-то-там эррор ХХХ" - совершенно различны.

Подумайте - нужен ли Вам такой firewall в принципе или сгодится обычный встроенный (ну или на роутере). Если нет - поставьте коробку с HDD, а на неё наверните что вам угодно (в принципе и FW можно поднять). Графический интерфейс, всё такое.

Comments

[Lion295]

other_letter мальчик из офиса напротив - это как раз я) Призван спасти ситуацию и сделать так, чтобы данные не похереть, и чтобы работало быстро и без проблем. MS- стоит как самолет, его не рассматриваем, мы тут уже отдел снабжения на Ubuntu перевели, в качестве оптимизации.

Firewall прям таки не горит, нет и хер с ним. Сейчас на роутере поднял опенdns- уже спокойнее. Главная задача все копировать, быстро отдавать базу 1с по сети и не похерить лицензии уже существующих машин.

[other_letter]

Lion295: ну тогда делайте как Вам удобно. На вдумчивый подход со SLA, архитектурой, описанием требований всё равно ведь забьёте - масштаб не тот.
На Юбунту есть и серверные сборки. А раздавать 1С-ку (не быть при этом сервером 1С) можно хоть с мобильника с разбитым экраном.

Купите HDD-коробку с RAIDом и возможностью бэкапить вовне (то есть чтобы кроме единственного хвостика USB чтобы что-то было), туда один из тонны дистрибутивов на линуксе и вперёд. Он внутри практически такой же.

Answer 5

[Adamos]

Соглашусь с коллегами, идея больше смахивает на создание единой точки отказа всего и сразу без особой на то необходимости.
Тем более, что бэкап самого сервера, вполне возможно, будет нужнее, чем бэкап пользовательских машин (особенно если сделать грамотно - то есть ничего на них не хранить). Делать бэкап на тот же самый сервер - не слишком разумно.
Я бы советовал:
1. Приличный роутер, который закроет вопрос с интернетом и файрволлом - а при выходе из строя просто заменяется свежекупленным. При желании бесперебойной работы можно просто держать под рукой второй такой же.
2. Достаточно серьезную машинку под файл-сервер. RAID и прочие ништяки по вкусу. Хотя я, признаться, не представляю, как у вас на 15 человек по сети раздается файловая 1С - и в этом еще можно работать. Или все-таки не файловая?
3. И небольшой дешевый неттоп с большим винтом, единственной задачей которого будет тихо-мирно автоматически делать бэкапы. С несколькими копиями, конечно (шифровальщики нынче в моде, а бэкап, в котором файлы автоматически перезаписались зашифрованными, бесполезен). С доступом извне только на чтение.

При чем здесь ОЕМ-лицензии - вообще не понял, признаться. Вы собираетесь хранить в бэкапе развернутые образы со всех машин? Неужели их приходится постоянно "чинить" таким образом?

Comments

[Lion295]

Adamos
1 - можно пример такого чуда
2 - Технически, сидит в 1с одновременно не более 5 человек ( файловая), отдельный сервак нужен именно для бекапа. Почему тогда просто NAS не взять?
3- зачем нужен отдельный неттоп? Чтобы шифровальщик не залез, думал сделать рейд1, и с него делать еще бекап системой на 3-ий диск, на котором права только на копирование с рейда и из сети его не видно. К

[Lion295]

OEM - здесь при том, что не знаю как правильно делать образ системы с сохранением лицензии, по этому думаю, что вариант с развернутым доступом актуальным )))

[Adamos]

Lion295: что чудесного в нормальном роутере? Или под файрволлом вы Squid имеете в виду?
Сервак в сети - это в принципе хорошо. Например, позволяет хранить все на нем, а на клиентские машины наплевать. Сломалось / поймало что-то - переставляется система (раз ОЕМ, ключики же налеплены?), и ничья работа, кроме одного сотрудника, от этого не страдает.
А вот один сервак, на который может невзначай прийти скачок напряжения или пролитый чайник - это не очень хорошо. Если вы всерьез относитесь к бэкапу и надеетесь, что он действительно будет вам полезен. Неттоп + бесперебойник для него - не такая большая плата за страховку от многих несчастных случаев. При такой организации сервер может быть выведен из строя, взломан, изъят или вовсе превратиться в обугленные останки - и это не будет непоправимо.

[Дмитрий]

Lion295:
1 - Mikrotik
2 - ?
3 - За тем, что бекап должен делаться на _внешнее_ устройство (подключаемый по usb-диск не подойдёт)

[Adamos]

Дмитрий: 1 - там могут быть хотелки про "запретить все вконтактики кому захочу одной кнопкой в веб-морде", но это и на линуксе не так-то просто организовать.
Опять же, даже в этом случае можно сделать линукс-сервер проксей к роутеру, а прочих напрямую к нему не пускать.

[Adamos]

Lion295: насчет "почему не NAS" - во время этой еды вполне может прийти аппетит. Сначала OpenFire для внутреннего общения без беготни по кабинетам, потом бэкап официального сайта, а там, глядишь, и внутренняя CRM заведется ;) NAS этого не потянет, а линь-сервер - легко и без лишнего напряжения.

[Дмитрий]

Adamos: не хочу вдаваться в полемику, но это не техническая задача, а административная.

[Adamos]

Дмитрий: полемики и не будет. Полностью согласен.
Однако это совершенно не избавляет от наличия подобных начальственных хотелок ;)

[АртемЪ]

Adamos:
Насчет роутера полностью согласен.
По поводу 1с - все зависит от задач и режима использования.
У меня в одном месте раздается файловая 1с по сети примерно 15активным пользователям, ничего не тормозит и нет смысла ставить скуль. Весь фокус в том что на 15 пользователей около 200баз, и в один момент времени в одной базе один пользователь. Была бы одна база - там бы и пяти пользователям было бы некомфортно работать. Так что не все однозначно.

Так же категорически не согласен насчет хранения образов.
Я всегда храню все образы всех рабочих станций в обязательном порядке. Места это не много на 15машин, зато восстановление полетевшей машины это дело нескольких минут, а не дней.

[Adamos]

АртемЪ: Если критично отсутствие простоев, то образы не страхуют от сдохшей матери или иных железных поломок. Тогда резоннее иметь резервную машину, которую можно сразу поставить на рабочее место, пока разбираешься со сдохшей. И все-таки хранение и раскатывание образов - это скорее про офисы на много сотен одинаковых машин, а не на зоопарк из 15 разных.

В общем, я настаиваю на главном: перенос всего, что только можно, с этих самых машин на сервер будет куда полезнее складывания на этот сервер образов всех машин и хаоса на сетевых шарах, который обычно имеет место в подобных офисах.

[АртемЪ]

Adamos: Ну простой в несколько дней всегда довольно критичен, Причем как бизнесу так и админу.
Мне например нафиг не надо системы переустанавливать, а бизнесу важно чтобы работа в случае проблем началась как можно быстрее.
Образы страхуют от любых поломок железа - блок питания, процессор, мат. плата, украли компьютер, и.т.п.

[Lion295]

Adamos АртемЪ Дмитрий

Убедили вы меня сделать так.

1- Купить микротик, лучше два.
2- Купить самый простой пк, с кучей сата и гигабитным входом. Накатить туда bsd с zfs. Опыт был, да гугл в помощь, и организовать тем самым файловое хранилище с раздачей файловой 1c.
3- Купить дешевый десктоп с кучей HDD, залить все образы винды. Настроить его, чтобы не было доступа из-вне, и копировать еще на него п.2.

Хотелки типо firewall убрать.
Вопрос к АртемЪ: Как делаете копии образов? Как проходит восстановление. Я все еще не понимаю как активируется OEM-ки, наклеек нет никаких.

[Adamos]

АртемЪ: образ ОЕМ-винды поможет от смены железа? Ах, если бы...
Доказывать, что ты не пират, будет дольше, чем поставить заново. Особенно если это еще сохранившиеся ХРюшки.

[Adamos]

Lion295: не "еще на него", а организовать грамотную систему хранения нескольких слепков разной свежести. Рабочий случай - админ был в отпуске, за это время троян-шифровальщик прошелся по офису, автоматический бэкап успел скопировать уже зашифрованные файлы, нужно вернуться хотя бы к концу прошлой недели.

[Adamos]

Lion295:

наклеек нет никаких

В принципе нет или лежат в сейфе, но не наклеены? В первом случае лицензиями можно подтереться - вы никак не докажете, что ОЕМ-система ставилась именно на эти компьютеры именно по этим бумагам.

[АртемЪ]

Обычная причина проблем - диск или сбой ПО.
В одном случае меняешь диск и накатываешь образ - десять минут максимум. Если переустановка это дня два как минимум.
Во втором случае просто накатываешь образ.

[АртемЪ]

Adamos: Не понимаю о каком образе OEM винды вы говорите.
Я говорю о образе который регулярно снимается с системного диска, и позволяет оперативно накатить этот образ в любой момент.

Т.е обычный wbadmin -allCritical хотя бы.
Если слетит привязка к железу - ну так это ограничение OEM, поставил активатор и дальше работай, или купи лицензию.
Главное человек будет работать через несколько минут, и мне не придется полчаса выпытывать у него какой софт ему нужен, потом собирать этот софт, устанавливать его на винду, вспоминать что и как активируется. Это ж несколько дней работы, к тому же бесплатной.

[Lion295]

Adamos: из наклеек - Серийники от производителя, и галаграфические наклейки "Windows8/10", как таковых наклеек, как было раньше с xp (Серийный номер винды и штрих код) - нет. Значит офис не на лицухе сидит у меня сейчас?

[АртемЪ]

Lion295: OEM активирован изначально, и привязан к железу.
Пока железо не поменяли -просто восстанавливаете образ и у вас активированная ОЕМ.
Если железо поменяли - активация слетает, лицензия не действительна, это собственно отличие OEM от Prof.

[Adamos]

АртемЪ: и это отличие приводит к тому, что на машине, где пришлось заменять мать (сгоревший порт или южник, например), этот образ тупо не заработает. Требуя активации на серверах, которых уже нет (в случае ХР). В случае более свежей системы придется звонить в MS и доказывать роботу, что ты не верблюд.

[АртемЪ]

1- Купить микротик, лучше два.

Нафиг два???

Купить самый простой пк, с кучей сата и гигабитным входом.

Ну если нужна только файлопомойка вполне нормально. Очень странный выбор операционной системы, и файловой системы, для каких таких спецзадач вам потребовалась bsd с zfs сложно даже предположить...

Купить дешевый десктоп с кучей HDD, залить все образы винды.

Образы не заливаются туда единовременно. Это система резервного копирования.
Каждую неделю туда ложится свежий образ системных дисков каждого компьютера, ежедневно туда складываются все бэкапы. Так же нужно грамотно настроить хранилище в плане безопасности - чтобы даже администратор сети не мог удаленно удалить или поменять резервные копии.

[Adamos]

АртемЪ:

для каких таких спецзадач вам потребовалась bsd с zfs сложно даже предположить...

Очевидно же - чтобы в случае любых проблем искать решение не по форумам, а самостоятельно. Стоя и в гамаке.

чтобы даже администратор сети не мог удаленно удалить или поменять

Имхо, чересчур для офиса на 15 планктонин. "Чтобы кто угодно не мог" - это да ;)

[Lion295]

АртемЪ Adamos

То, что OEM-ка не встанет после замены материнки - меня вообще не волнует. Есть конкретная задача от руководства, которое настращало новости о шифровальщике. Задача в след. Если прийдет и зашифрует - восстановить как можно быстрее. Но как я понял - если нет документов на покупку ПК - всем похрен. Я просто думал, что как-то можно вынуть ключ активации, и там в случае чего взять и ввести его. Проще просто три полных образа ( раз в неделю) хранить отдельно и не горевать. Теперь вопрос как его сделать ( Образ). Тем более что это желательно бесплатно и из под linux. Ну или из под винды, которую остальным не видно.

[Adamos]

Lion295:

Если прийдет и зашифрует - восстановить как можно быстрее

И в третий раз повторяю: эта проблема решается не бэкапом рабочих мест, а вынесением всего файла за их пределы, на сервер. Да, шифровальщик может и его сожрать - уже эта проблема решается грамотным бэкапом.
А на рабочем месте должна стоять система с отобранными у юзера админскими правами - ни хрена ей никакой троян не сделает, переставлять просто не потребуется.

[Lion295]

Adamos: Ну так я про это же. Вынести за пределы досягаемости этот сервер. Хранить как я уже сказал три полных образа ( раз в неделю делать бекап). Или мы вообще о разном говорим? Если так, то не могли бы вы пояснить, для особо понятливых?

Права естественно отобраны, только обычно это не помогает. Даже вайт лист допущенных к исполнению файлов не всегда помогает.

[АртемЪ]

Lion295: Настройка создания образа делается обычно штатными методами windows - удобно и бесплатно.
Некоторые предпочитают стороннее по - платный акронис, или бесплатную клонзиллу, но там сложнее.

Из под винды настраивается через панель управления, архивация и восстановление.
Хотя проще из командной строки
WBADMIN START BACKUP -backupTarget: - allCritical -vssFull
Единственно в некоторых урезанных версиях вроде хоум или стартер в качестве таргета нельзя указать сетевую шару.

Полное копирование системы - как правило делается раз в неделю или в месяц, чаще особого смысла нет.
А вот копирование пользовательских файлов делается ежедневно отдельным заданием.

Хранилище бэкапов должно быть изолировано от угроз из локальной сети - желательно никаких лишних служб, в идеале другая ОС, т.е если у вас вся инфраструктура на windows, то хранилище на linux.
У меня сделано так что у пользователя есть права на запись в публичную файловую шару хранилища, но нет прав запись в основное хранилище. В результате удалить или испортить бэкапы по сети невозможно.

[АртемЪ]

Adamos: Не всегда возможно вынести систему на сервер, да и дорого это.

[АртемЪ]

Adamos:

А на рабочем месте должна стоять система с отобранными у юзера админскими правами

Ну ок, зашифровали эту систему с отобранными правами, или диск полетел, или просто крякнула после неудачного обновления - кто ее будет переставлять?

[Adamos]

Lion295:

Вынести за пределы досягаемости этот сервер

Бэкап-сервер гораздо удобнее иметь как раз в пределах досягаемости. Но, естественно, только на чтение.

Хранить как я уже сказал три полных образа ( раз в неделю делать бекап)

Образа - чего? Папки с файлами баз 1С-ки? А что так редко? Что мешает хранить ежеутренний срез?
Или вы хотите хранить образы каждой машины? Только ради того, чтобы народ хранил документы у себя на рабочем столе, а не в своей папке общего сервера?

Права естественно отобраны, только обычно это не помогает.

Не помогает - от чего? У вас из-под пользователя какой-то зверек сломал систему настолько, что ее требуется чинить переустановкой?

АртемЪ:

Не всегда возможно вынести систему на сервер, да и дорого это

Пока ТС не утверждал невозможности выноса всей работы на файл-сервер. Более того - обычно для этого их и заводят...

[Adamos]

АртемЪ: "отобранные права" и "никто не знает пароль админа" - это все-таки разные вещи. А что, обычно юзеры сами себе меняют винт и раскатывают образ?

[АртемЪ]

Adamos: Ну на файл сервер точно всю работу никак не вынесешь. Работу можно вынести только на сервер терминалов, и то не всегда.

[Adamos]

АртемЪ: а можно конкретнее? Я не силен в 1С, но она вроде бы позволяет работать с произвольной папкой. Даже если нет - это, в конце концов, один компьютер, а не пятнадцать. Барахтанье в офисе от того, на диске лежат файлы или в сети, вообще никак не зависит. Я чего-то не знаю?

[Lion295]

Adamos:

Бэкап-сервер гораздо удобнее иметь как раз в пределах досягаемости. Но, естественно, только на чтение.

Образа - чего? Папки с файлами баз 1С-ки? А что так редко? Что мешает хранить ежеутренний срез?

Я предлагаю делать бекап данных пользователя (база 1с и файлопомойка) инкрементально каждые сутки на сервер. Плюс к нему, организовать на отдельной машине бэкап Образов всех машин и базу 1с и файлопомойка

Не помогает - от чего? У вас из-под пользователя какой-то зверек сломал систему настолько, что ее требуется чинить переустановкой?

Не поверите, был опыт когда пароль на админа знал только я, а шифровальщик пришел и зашифровал все. Включая раздел рекавери. Вот это было приколько, потом звонки в MS и посещение сервис-центров. Больше такого не хочу.

[АртемЪ]

Adamos: Ну во первых в офисе работают не только с 1с, да и в 1с есть свои заморочки.
Вот работает компьютер - 1с на сервере, все офисные файлы на сервере.

И вдруг в одно прекрасное утро после обновления винды не загружается.
Все работа встала - доступ к банкам только с этого компьютера.
Конечно ключи от банков есть, в сейфе, но надо для каждого банка поставить свои плагины в браузер, софт, сертификаты - это все долго и уже требует работы специалиста.

Далее - отчетность он сдает из СБИС - база данных на сервере, но клиентское приложение то надо установить и настроить у него на комьютере.

Далее - он работает с 1с, надо поставить платформу 1с, прописать настройки доступа к базам

Далее - прописать все пароли доступа к файловым шарам и настроить права.

Далее - у каждого свои заморочки то зрение хреновое и шрифт надо в два раза больше обычного, то наоборот.

В итоге данные то на сервере есть - но пока не настроишь локальную машину как надо доступ к ним ты не получишь.
Если есть домен там немного проще, большую часть можно через политики разрулить, но не все.

А в рабочей группе полная настройка рабочего места это дня два работы специалиста.
А два дня работы специалиста стоят примерно столько же как сам компьютер пользователя.
Поэтому проще хранить образ.
В случае проблем этот же специалист поднимет систему из образа уделенно за 10-15минут, и по цене это будут копейки, как правило входит в абонплату.

[Adamos]

АртемЪ: окей, поверю евшим устриц.
У меня все-таки жизнь попроще - два продвинутых главбуха не так часто нуждаются в моих услугах, а мозг рядовых бухов они и сами стараются лишними действиями не нагружать ;)

[АртемЪ]

Adamos: Ну я фрилансер, у меня на обслуживании несколько десятков контор.
Если я всем буду переставлять винду - у меня банально времени не хватит.

[АртемЪ]

Тут вот не так давно в одной из контор что на обслуживании - менеджер в понедельник видимо с бодуна, координации никакой споткнулся, потерял равновесие, и случайно пнул комп.
Диск работающего компа пинок менеджера не пережил.
Сбегать купить диск - дело пяти минут, отрядили гонца в ближайший супермаркет, и купили, прикрутить, вместо старого - отвертка тоже в офисе есть.
А вот софт переставить уже проблема - мне позвонили я удаленно за 15минут накатил образ.
И все дела.
Клиенту это бесплатно ибо включено в абонентку.
А если бы мне ради этого тащиться в город за 50км, потом винду ставить, потом весь софт, и.т.д.
Да мне только бензин под тысячу вылезет.

[Adamos]

АртемЪ: а у меня в кабинете второй стол - как раз для того, чтобы препарировать и переставлять, если что. Не отрываясь от прочей работы.
Воистину, Jedem das Seine :)

Answer 6

[athacker]

Два микротика-- это правильно, одобряю.

Сервер -- да, можно обойтись обычным десктопом, с корпусом, куда можно воткнуть 8 или более дисков. Только дисковый контроллер я бы посоветовал внешний. Например, LSI 9300-i8. Под фряхой работает ОК, я проверял. Дисковая конфигурация: RAID10, собирать ZFS-oм. То есть, потребуется минимум 4 диска в сервер, и как минимум один в ЗИП, всего пять. Диски обязательно хот-свопные -- можно будет менять на ходу, без остановки сервера.

Обязательно обновить прошивку контроллера -- у него была подлая бага, что при детаче на ходу одного диска он отсреливал сразу все диски. Данные не страдали, но ZFS-пул дох, разумеется. Лечилось только ребутом.

Есть один тонкий момент. Порт Самбы под BSD имеет косяки. По крайней мере, имел в версии 3.4, 3.5. При использовании файловой базы 1С более чем 2-3 пользователями одновременно резко просаживалась производительность. Это было связано с особенностями реализации блокировок открытых файлов, и насколько я помню, никак не лечилось. Возможно, в 4-ой версии это починили, но на момент моих исследований (года 4-5 назад) команда Самбы слала всех лесом, мотивируя это тем, что "у нас на линухе всё работает". Так что сначала надо протестировать производительность, перед вводом в прод. Чтобы потом не пришлось судорожно менять ОС.

Из железа ещё -- поищите БУ HP Proliant Microserver, 7 или 8-го поколений. Это отличные машинки, надёжные и с хотсвопными корзинками. И БУ они стоят недорого. Gen8 дороже, конечно, но тоже можно раскошелиться, там цены от 18 до 50 тысяч, в зависимости от комплектации. Gen8 лучше тем, что у них есть встроенный адаптер удалённого управления, с IPMI и IP-KVM. Дисковая корзина там на 4 диска, на 5-ый можно поставить систему. 5-ый ставится обычно в лоток от CD-ROM, есть специальные адаптеры, но можно и просто так положить. Только диск нужен будет 2.5". Дисковый адаптер туда тоже можно поставить, но только предыдущего поколения, т.е. LSI 9200 -- там (в сервере) SAS-разъём другой, к 9300-8i бэкплейн сервера не подключить.

Устройство для хранения бэкапов -- обязательно отдельное. Т.е. отдельный системник.

Готовые коробки типа QNAP/Synology -- это треш и угар, лучше даже не вязаться. Для дома ОК, для конторы -- нет. Максимум, что им можно доверить -- это хранение файлов бэкапов, и всё. Да и то, лично я бы не стал, больно много у них прибабахов.

Comments

[АртемЪ]

athacker: Думаете на 15юзеров будет необходим железный рэйд и хотсвоп?
Бывает конечно и такое, но крайне редко.

[athacker]

АртемЪ: Про железный RAID я и не говорил. Рекомендованные мной LSI-ки -- это HBA-адаптеры, там нет RAID-функционала. Ну, по крайней мере без магических пассов нет, да и не нужен он там, при наличии ZFS. Скорее вреден.

А что касается всего остального -- это стоит не таких уж больших денег, зато обеспечивает существенно бОльшую надёжность, чем commodity hardware.

Answer 7

[Vladimir Zhurkin]

Вопросы собственно в следующем:
-Какое железо подобрать?
-Какое ПО использовать для Firewall и резервного копирования
-Как не потерять OEM лицензии windows на машинках (Реально ли делать полный бекап образа диска и потом его развернуть обратно?)

Без фанатизма на 15 человек взять

mikrotik в качестве головы готовое решение из серии 2011
https://routerboard.com/RB2011iL-IN
или не намного дороже 3011
https://routerboard.com/RB3011UiAS-RM

В качестве switch однозначно новый crs326. В теории он и на 15 человек справится с выходом за NAT, но это плохая практика из switch использовать как роутер. Хотя он может, если только на первое время. (но мы же помнем, что временное оно как бы постоянно ;) )

Для NAS взять готовый qnap/synology опять же бывают неплохие варианты БУ на барахолках. Если бюджет совсем минимален, я бы использовал вариант с nas4free.
https://www.nas4free.org/
Да на BSD, но web морда делает свое дело и в общем ползать в консоли и править конфиги не особенно нужно. Можно одну машину как ФП в сети, вторую как backup.
Осилите связку zfs+l2arc будет очень быстро работать. Для кеша hdd можно использовать как память так и в совокупности с памятью ssd начиная от 64gb.
RAID я в общем сделал бы на том же ZFS. Хороший аппаратный стоит дорого, а от дешевого больше проблем чем пользы.

Для OEM резервных копий в общем и не надо. Сейчас обычно активация вся идет через SLIC bios.

Answer 8

[Вадим]

Сеть можно организовать на роутере микротик. На нем же есть элементарный firewall для проброса портов и прочего.
-Как не потерять OEM лицензии windows на машинках. Начиная с W7 и далее, у винды есть очень хорошая утилита для копирования.
Сервер можно организовать практически на любом ПК(брать полноценный сервер не требуется). Там есть встроенный RAID. Так же можно обратить внимание на FreeNAS.