Máy chủ ảo hóa có được phép chạy bất kỳ dịch vụ nào không?

10

Gần đây tôi đã thiết lập một máy chủ ảo hóa cho công ty nhỏ mà tôi đang điều hành. Máy chủ này chạy một số máy ảo được sử dụng để phát triển, thử nghiệm, v.v ...

Đối tác kinh doanh của tôi làm việc từ một địa điểm từ xa, do đó tôi cũng đã cài đặt máy chủ vpn trên máy chủ ảo hóa để anh ta có thể tiếp cận các dịch vụ của công ty một cách an toàn. Hơn nữa, một lần nữa trên máy chủ ảo hóa, tôi đã cài đặt bacula để thực hiện sao lưu dữ liệu.

Có nên thực hiện / thực hành tốt để làm như vậy hay tôi nên tạo thêm một máy ảo để thực hiện sao lưu và VPN? Có phải là một ý tưởng tồi để chạy các dịch vụ này trên chính máy chủ? Nếu đúng thì tại sao?

— Giordano
nguồn

9

Máy chủ virtualizaton phải là máy an toàn nhất mà bạn có. Máy an toàn nhất là máy hoàn toàn không được kết nối với mạng ;-)

Lưu ý rằng tốt nhất là không cung cấp bất kỳ dịch vụ nào trên các giao diện công cộng của bạn. Bạn thậm chí không nên có IP ở đó (cầu nối cho VM là layer2).

Hãy nghĩ về máy chủ VM là DMZ: lưu lượng truy cập vào nó bị cấm, không có vấn đề gì.

Vì vậy, trong ví dụ của bạn:

VNC: Xấu - đây là một dịch vụ đến
Sao lưu: Không có vấn đề - các phiên được bắt đầu từ đây ra bên ngoài

Nhưng ngay cả sau đó - bạn chỉ nên chạy các dịch vụ không ăn hết RAM / CPU / IO trên máy chủ VM - nếu không máy ảo của bạn sẽ bị thiếu tài nguyên.

— Nils
nguồn

Tôi phải nói rằng tôi chia sẻ quan điểm của bạn, bây giờ bạn chỉ ra những sự thật này. Việc đặt VPN và các dịch vụ sao lưu trên một VM riêng cũng sẽ giúp dễ dàng di chuyển trong tương lai (nếu điều đó sẽ được yêu cầu). Tôi sẽ chỉ cấu hình một NIC để truy cập trong mạng nội bộ, vì máy chủ không dễ truy cập. Các NICS khác sẽ được đặt ở chế độ bắc cầu. Cảm ơn!

— Giordano

5

Tôi khuyên bạn nên tách các chức năng VPN thành tường lửa dựa trên phần cứng hoặc thiết bị riêng biệt ... Ví dụ: điều gì xảy ra nếu máy chủ không hoạt động?

Nhưng thay vì điều đó, có thể sử dụng máy chủ ảo hóa hiện tại của bạn làm đầu cuối cho VPN của bạn. Sao lưu không nhất thiết là một vấn đề.

Điều này nghe có vẻ như một thiết lập nhỏ (bạn đang sử dụng loại phần cứng nào?), Nhưng nếu bạn hỏi, có thể bạn có một số đặt phòng? Tại sao bạn nghĩ rằng nó có thể không phải là một ý tưởng tốt?

— ewwhite
nguồn

Tôi có một Dell PowerEdge T410 khá mạnh mẽ, với 2 bộ xử lý và 32GB RAM. Mối quan tâm của tôi tập trung nhiều hơn vào khía cạnh bảo mật, vì tôi biết rằng sẽ mất rất ít thời gian để xâm nhập vào một hệ thống không được cấu hình tốt ^^ Tôi chưa bao giờ có câu trả lời rõ ràng về chủ đề này nên tôi quyết định hỏi.

— Giordano

3

@Giordano Điểm mà anh ấy đưa ra là nếu máy chủ đó khởi động lại vì một số lý do (sự cố phần cứng, sự cố về điện) và không hoạt động trở lại sạch sẽ, sẽ không thể khắc phục sự cố từ xa. Nếu VPN của bạn nằm trên một thiết bị như tường lửa của bạn, bạn sẽ có thể kết nối với DRAC và có thể khiến nó chạy.

— MDMarra

Rất nhiều sự thật, một điểm rất tốt. Hiện tại tôi không gặp rắc rối lớn khi truy cập máy chủ (nó ở cùng tòa nhà) tuy nhiên việc mua một thiết bị cho VPN chắc chắn là một động thái tốt. Cảm ơn đã chỉ ra điều này.

— Giordano