Stickfish zvyšuje bezpečnost desktopů Burze cenných papírů Praha (diskuse)

[x00]

Virtualizacia je absolutna security by obscurity.

[VM]

Ne tak docela - virtuální počítače se lépe spravují a tak jdou snáze zabezpečit, a pouštět jednotlivé služby v oddělených virtuálních počítačích je bezpečnější než pouštět je všechny na jednom fyzickém.

[kyytaM]

A aj dalsia plocha pre security diery a utoky (vrstva hypervizora).

[Käyttäjä 11133]

servery x3550 s plnou redundancí

Plnou redundanci poskytuje tak možná zSeries.

[Filip Korbel]

mysleno jako geograficky separovane HA, kde bezi vlastni IBM x3550 a také storage IBM DS3512

[Käyttäjä 11133]

Není tohle něco jako industry strandard solution?

No tak když jsme teda u toho... Jaké jste zvolili RTO a RPO?

[VSi]

Dají se 2 boxy DS3512 propojit přímo mezi sebou přes FC tak, že přes to běží realtime synchronní replikace? Nebo je potřeba ještě nějaké zařízení navíc, resp. nějaká SW licence?

[Filip Korbel]

Jsou dve cesty. Zalezi, zda ty desktopy ve VDI musi byt klonovane, nebo mohou byt nezavisle. Abych to zjednodusil, uvadim dva postupy:

1. Obe DS3512 se doplni o replikacni licence a vyhrazenym FC portem na radici se jde na switch a pripadne lambdu atd.

2. Pouzije se site recovery manager od VM

[VSi]

Díky. Šlo mi o to obecně, pokud bych to chtěl jako storage pro HA cluster (nezávisle na virtualizačním řešení). Ten HW je už za celkem zajímavou cenu. Kolik navíc přibližně udělají ty replikační licence? Potřebuju k tomu navíc ještě něco, než disky, kabely, a FC HBA - dejme tomu pro 2-3 redundantně připojené servery, a vše v 1 lokalitě? Pokud bych měl variantu s iSCSI porty, může přes ně běžet replikace, nebo na to musím mít FC (reálně, i z pohledu rozumného výkonu)?

[Filip Korbel]

existuji take iscsi pole s replikaci, ale myslim, ze jsou jen asynchronni. nekolik podminek pro replikaci na IBM DS3512 v jedne lokalite:

1. FC switch (bez nej to opravdu nefunguje)

2. dokoupit 2ks FC daugther card do DS3512 á 28k

3. dokoupit replikacni licence na DS3512 á 180k

4. propojit oba (DVA) radice v DS3512 vyhraznym FC cca 120k

5. najit nekoho kdo bude vedet, na co klika ve storage managerovi

6. dat se k nejakemu nabozenstvi, byt oblibeny u financniho reditele

[VSi]

Děkuji za odpověď. Tak nějak jsem to tušil. Cena za jedno samotné pole je v celém rozpočtu skoro detail. Holt pořád v tomto segmentu platí, že kdo skutečně potřebuje HA, nemá nakonec problém platit hodně. Hlavně na té ceně licence je to vidět.

Ale zas z druhé strany, jediné pole z kategorie DS3512 bez replikace, i když s redundantním controllerem a zdroji, to taky nemusí být nic spolehlivého, pokud má člověk smůlu. Takže pak dává smysl spolehlivost v tomto smyslu řešit o úroveň výš - třeba v rámci té virtualizace.

Byly by zajímavé nějaké reálné zkušenosti s nespolehlivostí resp. nefunkčností těchto enterprise technologií - občas člověk čte různé náznaky, nebo to vidí okolo sebe, že HW za miliony funguje špatně a dodavatel s výrobcem to neustále "řeší". Tak jestli jde o extrémní výjimky, nebo neschopnost, nebo jestli se fakt stává, že takový HW se koupí a časem je akorát k vzteku a v podstatě na vyhození.

[Käyttäjä 11133]

To pole už HA je (má dva kontrolery), off-site replikace není HA, ale DR řešení.

Ale zas z druhé strany, jediné pole z kategorie DS3512 bez replikace, i když s redundantním controllerem a zdroji, to taky nemusí být nic spolehlivého, pokud má člověk smůlu. Takže pak dává smysl spolehlivost v tomto smyslu řešit o úroveň výš - třeba v rámci té virtualizace.

Defakto by to mělo přežít všechno kromě site failure.

Byly by zajímavé nějaké reálné zkušenosti s nespolehlivostí resp. nefunkčností těchto enterprise technologií - občas člověk čte různé náznaky, nebo to vidí okolo sebe, že HW za miliony funguje špatně a dodavatel s výrobcem to neustále "řeší". Tak jestli jde o extrémní výjimky, nebo neschopnost, nebo jestli se fakt stává, že takový HW se koupí a časem je akorát k vzteku a v podstatě na vyhození.

No skutečný unplanned downtime se na rozumných diskových polích defakto nekoná (pokud jsou podpůrné systémy v pohodě - elektřina, chlazení,..), jen občas člověk narazí na problémy s non-distruptive upgrady, protože ty snad u všech polí mají nějaké limitace. Pokud se do této situace člověk dostane, tak buď musí uvést diskový systém do podporované konfigurace (promazat snapshoty,...), nebo udělat distruptive upgrade.

Za poslední dva roky byly všechny výpadky diskových subsystémů zapříčiněny miskonfigurací (přepnutí na druhý kontroler nefungovalo kvůli špatnému nastavení) - to že selhal kus hardware a kvůli tomu byl nutný fail-over je bežný jev a proto jsou ty kontrolery v clusteru.

Takže platí testovat, testovat, testovat - kdo je připraven není překvapen.

[Mrkva]

Sakra, to by byl takový problém psát česky? Na tuhle směsici češtiny a angličtiny se nedá koukat.

[Käyttäjä 11133]

Vyhul Je to dost česky? :)

[pavlix]

Já si toho při čtení ani nevšiml :).

[Mrkva]

Já až do té "miskonfigurace" taky ne. Au :)

[Filip Korbel]

Ty ceny za replikace jsou listovky a je to software, takze spravnym otacenim sroubu se da hodne dosahnout

Ja si myslim, ze to DS3512 patri k TOP modelu ve sve tride. Ted se spusti asi pekny flame . Malo ktere pole za tu cenu se da dovybavit FC sync replikaci. Malo ktere pole umozni kombinaci 12-diskoveho radice a 24-diskove police. DS3512 ma 2x vice i/o nez ostatni DS3000 modely a stoji mene nez DS3300!

HA v jedne lokalite je tu celkem 3x. Dual-port HD, dva zdroje, dva radice. Jen ten spravce storage je tam pouze jeden

[Käyttäjä 11133]

existuji take iscsi pole s replikaci, ale myslim, ze jsou jen asynchronni.

Netapp umí synchronní replikaci po IP (Synchronous SnapMirror).

FC switch (bez nej to opravdu nefunguje)

Proč to nefunguje při Point to Point topologii? To se používá jeden kanál na replikaci NVRAM a jeden na replikaci disků? Při SAS asi těžko... Takže by měl stačit jeden dark fibre, nebo DWDM.

propojit oba (DVA) radice v DS3512 vyhraznym FC cca 120k

To FC snad nemusí být vyhrazený dark fibre. Mohlo by to rozumě běhat po VSAN v nejhorším případě po DWDM.

[Filip Korbel]

Ten FC switch na ceste je podminkou primo v IBM redbook .... zase tak anglictina Ja jen odhaduji, ze chipset v FC daughter card u radice by nedokazal radit ty datove packety, protoze na to nema logiku. Ta se nachazi na brocade a ta jim da nejaky smer, flag a posle ve spravnem poradi na FC port: tomu dala, tomu dala a tomu take dala....

[Atom321]

Stickfish, to je ta firma, co dřív vlastnila ábíčko a teď spolupracuje s banán.cz?

Virtualizace určitě zjednodušuje správu, řeší škálovatelnost, zálohování ... ale bezpečnost? Čím je virtuální PC bezpečnější než fyzický stroj?

[pistiq]

zrovna sa myslia fyzicke apekty bezpecnosti

[Luboš Doležel (Doli)]

Výměnná reklama není zrovna spolupráce.

[Filip Korbel]

Aspektu bezpecnosti, ktere VDI burze prineslo je hodne a nejsem opravnen je vsechny jmenovat. To nejdulezitejsi asi je, ze na lokalnich PC nejsou jiz nadale zadna data, logy ani transakce. Dalsi parametr je, ze doslo k vytvoreni specialne oddelene infrastruktury vcetne vlastniho behu OS a aplikaci...takova desktop-VPN grupa Dalsi omezeni uzivatele jiz nesmim rici, ale jsou mozna jen diky VM View 4.5 a jeho nastaveni.

[VM]

Škoda že to není v tom reklamním článku...

[VM]

Člověk by si rád přečetl, co že to tam vlastně udělali - je to rozhodně zajímavé téma. Ale dozví se jen, že běžná PC mají bezpečnostní problémy, co je firma Stickfish a co je Burza. Chápu že reklama nemusí být úplně věcná, čím ale chtěli zadavatelé téhle zaujmout převážně technickou komunitu na tomhle serveru? No nic, doufám, že na ABC alespoň také nezakážou diskusi pod reklamami, jak je to leckde jinde.