Günstigste Verteilung von Diensten?

Malte_4b1c84 · 25. Juli 2002 um 02:19

Moin,

erstmal sorry für den komischen Betreff, ein besserer in entspr. Kürze ist mir nicht eingefallen. Auch hat die Frage nur so halb mit Netzwerken zu tun, dennoch scheint sie mir hier am besten aufgehoben, aber urteilt selbst.

Es ist mal wieder soweit, daß ich an meinen PCs rumbasteln möchte, i.w. zwecks partiellem Umstieg auf FreeBSD. Das Netzwerk sieht so aus:

 Internet
 | 
 DSL-Modem
 |
 Router (Hardware)
 |
 Switch
 |
 |
 servant.home---+---daemon.home
 | |
 laser |
 |
 master.home---+---snake.home

zu den Rechnern:

master:
Mein PC, XP1800+ / 512MB RAM / 60GB HDD
Soll laufen unter FreeBSD, für einige Anwendungen bracht’s jedoch auch noch ein Windows XPpro, leider.

snake:
PC meiner Frau, PIII-700 / 256MB RAM / 20GB HDD
Windows 2000pro, wird’s auch bleiben.

servant:
PIII-700 / zZt 128MB RAM / 60GB HDD
soll FreeBSD werden, auf jeden Fall folgende Dienste:
Fileserver für Win und FreeBSD, Printserver (Laserdrucker)

daemon
K6-2 450 / zZt 128MB RAM / derzeit keine Festplatte
soll OpenBSD werden

Naja, und nen Pentium60 mit 16MB RAM hab ich auch noch rumstehen.

Nun hab ich vor, mit folgenden Diensten herumzuspielen:

FTP Server
DNS-Server
Webproxy
Webserver (im kleinen Stil, nur für Leute, die mit FTP nicht klarkommen)
Mailproxy
FAX Server

und später evtl. noch

AAA (RADIUS/TACACS)
VPN Gateway

Jetzt endlich die Frage:
Wie würdet Ihr die Dienste verteilen? Gibt es irgendwelche Kombinationen, die sinnfrei sind? AAA und VPN können ruhig außen vorgelassen werden, die dienen lediglich zum kennenlernen, nicht zum produktiven Einsatz via Internet.

Auch jegliche anderen Sachkommentare sind erwünscht, die Auswahl der Betriebssysteme jedoch ist ziemlich fix und so gewollt.

TIA & Regards,

Doc.

Sebastian · 25. Juli 2002 um 06:58

Wie würdet Ihr die Dienste verteilen?

In den Mailproxy eine schnelle (SCSI-)Platte, dann dort die IMAP-Postfächer(!) lassen. IMAP ist einfach genial, Du kannst dann von dort ein zentrales Backup Deiner/Eurer gesamten Mail machen.

Dort würde ich auch den DNS-Server hinwerfen, meine Preferenzen bei dem ganzen Kram sind vermutlich bekannt…

Sebastian

Malte_4b1c84 · 25. Juli 2002 um 08:22

Wie würdet Ihr die Dienste verteilen?

In den Mailproxy eine schnelle (SCSI-)Platte, dann dort die
IMAP-Postfächer(!) lassen. IMAP ist einfach genial, Du kannst
dann von dort ein zentrales Backup Deiner/Eurer gesamten Mail
machen.

Das schwebt mir auch vor, auf „daemon“. Wobei ich es vermutlich bei einer IDE-Platte besserer Qualität belassen werde, aus Kosten- und Kompatibilitätsgründen. Aber Preise checken kost ja nix.

Dort würde ich auch den DNS-Server hinwerfen, meine
Preferenzen bei dem ganzen Kram sind vermutlich bekannt…

okay… Eine Frage noch dazu: Macht es Sinn, die Dienste so aufzuteilen, daß „daemon“ quasi alles bekommt, was auf’s Internet zugreift, also mail, dns, httpd, webproxy, ftpd, die Daten, zumindest von httpd und ftpd jedoch auf „servant“ liegen und via Netzwerk gemountet werden? Hätte den Vorteil, daß eigentlich nur ein Rechner so wirklich Internetzugriff braucht, der Router würde entsprechend konfiguriert. Oder gehören die Dienste dorthin, wo auch die Daten liegen?

Ich bin mir halt grad noch unsicher über die Abschätzung von Sicherheit vs. Übersichtlichkeit. Spontan würde ich sagen, daß es eigentlich egal ist / keinen wesentlichen Unterschied macht und o.g. Möglichkeit ganz okay ist.
Das Netzwerk läuft auf 100MBit/s.

Sebastian

Doc.

Sebastian · 25. Juli 2002 um 18:00

Wie würdet Ihr die Dienste verteilen?

In den Mailproxy eine schnelle (SCSI-)Platte, dann dort die
IMAP-Postfächer(!) lassen. IMAP ist einfach genial, Du kannst
dann von dort ein zentrales Backup Deiner/Eurer gesamten Mail
machen.

Das schwebt mir auch vor, auf „daemon“. Wobei ich es
vermutlich bei einer IDE-Platte besserer Qualität belassen
werde, aus Kosten- und Kompatibilitätsgründen. Aber Preise
checken kost ja nix.

Dort würde ich auch den DNS-Server hinwerfen, meine
Preferenzen bei dem ganzen Kram sind vermutlich bekannt…

okay… Eine Frage noch dazu: Macht es Sinn, die Dienste so
aufzuteilen, daß „daemon“ quasi alles bekommt, was auf’s
Internet zugreift, also mail, dns, httpd, webproxy, ftpd, die
Daten, zumindest von httpd und ftpd jedoch auf „servant“
liegen und via Netzwerk gemountet werden?

Ich würde das nicht machen. Schon aus Sicherheitsgesichstpunkten ist es günstig, nicht alles auf eine Kiste zu werfen. Proxy und Mail wüede ich definitiv nicht auf einen Rechner werden, da man dann Dinge mit teilweiser beträchtlicher I/O-Anforderung auf einem Rechner hat. Ich würde die Daten eher nahe an den Diensten halten und nicht alszuwild irgendwas quer durchs Netzwerk mounten.

Hätte den Vorteil,
daß eigentlich nur ein Rechner so wirklich Internetzugriff
braucht, der Router würde entsprechend konfiguriert.

Inwiefern „schadet“ Internetzugriff?

Sebastian

Malte_4b1c84 · 25. Juli 2002 um 18:45

okay… Eine Frage noch dazu: Macht es Sinn, die Dienste so
aufzuteilen, daß „daemon“ quasi alles bekommt, was auf’s
Internet zugreift, also mail, dns, httpd, webproxy, ftpd, die
Daten, zumindest von httpd und ftpd jedoch auf „servant“
liegen und via Netzwerk gemountet werden?

Ich würde das nicht machen. Schon aus
Sicherheitsgesichstpunkten ist es günstig, nicht alles auf
eine Kiste zu werfen. Proxy und Mail wüede ich definitiv nicht
auf einen Rechner werden, da man dann Dinge mit teilweiser
beträchtlicher I/O-Anforderung auf einem Rechner hat. Ich
würde die Daten eher nahe an den Diensten halten und nicht
alszuwild irgendwas quer durchs Netzwerk mounten.

Das würde bspw. folgende Aufteilung ergeben:

servant:
fileservices
Printserver
FTPd
HTTPd

daemon:
DNS
Proxy
Mail
Fax-Server

Mail und Proxy auf einer Kiste scheint mir ratsam, weil „servant“ und "daemon so vom Traffic ungefähr gleichmäßig belastet wären. So viel Mail ist es nicht, und der Fileserver wird schon ganz gut beansprucht werden.

Was wäre konkret Deine Einteilung?

Hätte den Vorteil,
daß eigentlich nur ein Rechner so wirklich Internetzugriff
braucht, der Router würde entsprechend konfiguriert.

Inwiefern „schadet“ Internetzugriff?

Naja, nicht wirklich, aber:

Bin ich Anfänger, und zwei potentiell angreifbare Systeme sind mehr als eines, und
gibt es immer einen, der besser ist als man selbst.

Das Bedrohungsszenario scheint arg konstruiert, seh ich ja ein.

Sebastian

Doc.

Sebastian · 25. Juli 2002 um 19:27

Das würde bspw. folgende Aufteilung ergeben:

servant:
fileservices
Printserver

Ja, das ist IMHO sinnvoll auf einem Rechner, insbesondere, wenn man das mit Samba erschlagen will.

FTPd
HTTPd

Was wird damit?

daemon:
DNS
Proxy
Mail
Fax-Server

Ja, das könnte man so machen.

Mail und Proxy auf einer Kiste scheint mir ratsam, weil
„servant“ und "daemon so vom Traffic ungefähr gleichmäßig
belastet wären. So viel Mail ist es nicht, und der Fileserver
wird schon ganz gut beansprucht werden.

Wenn Du IMAP hast (und das ist wirklich nett), kommen bei großen Mailboxen die Platten derbe ins Schwitzen. Deshalb würde ich den Proxy eher daraus lassen (der braucht auch krüftig Platte…)

Was wäre konkret Deine Einteilung?

Hm, so könnte ma anfanhen, ich weiß ja nicht, was genau Du vorhast.

Hätte den Vorteil,
daß eigentlich nur ein Rechner so wirklich Internetzugriff
braucht, der Router würde entsprechend konfiguriert.

Inwiefern „schadet“ Internetzugriff?

Naja, nicht wirklich, aber:

Bin ich Anfänger,

Falsche Bescheidenheit.

Sebastian

Malte_4b1c84 · 25. Juli 2002 um 19:54

Das würde bspw. folgende Aufteilung ergeben:

servant:
fileservices
Printserver

Ja, das ist IMHO sinnvoll auf einem Rechner, insbesondere,
wenn man das mit Samba erschlagen will.

Hm, gibt’s was schlankeres, das auch Windows-Maschinen Zugriff auf Drucker und Dateien ermöglicht?

FTPd
HTTPd

Was wird damit?

Na, der FTP Server muß da auch mit drauf, da liegen ja schließlich die Daten.
Und der Webserver soll eigentlich nichts anderes machen, als die Dateien Leuten anzubieten, die mit FTP nicht klarkommen, naja und zum kennenlernen (der Software).

daemon:
DNS
Proxy
Mail
Fax-Server

Ja, das könnte man so machen.

Mail und Proxy auf einer Kiste scheint mir ratsam, weil
„servant“ und "daemon so vom Traffic ungefähr gleichmäßig
belastet wären. So viel Mail ist es nicht, und der Fileserver
wird schon ganz gut beansprucht werden.

Wenn Du IMAP hast (und das ist wirklich nett), kommen bei
großen Mailboxen die Platten derbe ins Schwitzen. Deshalb
würde ich den Proxy eher daraus lassen (der braucht auch
krüftig Platte…)

Hm, okay. Ich kann’s ja mal ausprobieren, abschalten kann man immer noch. Webproxy ist auch nicht Priorität, geht ja auch ohne gut flott hier, aber ich will’s wenigstens mal gemacht haben, und mit dem in der Firma darf ich nur begrenzt rumspielen!

Was wäre konkret Deine Einteilung?

Hm, so könnte ma anfanhen, ich weiß ja nicht, was genau Du
vorhast.

Naja, ich habe vor, die im Urpsrungsbeitrag erwöhnten Dienste alle kennenzulernen und teilweise auf Dauer hier intern anzubieten (naja, für uns zwei User halt.).

Der Traffic von/nach außen wird nicht allzu groß sein, i.w. will ich bloß keine eMails mit riesen Attachments mehr verschicken müssen oder meinen Webspace mit irgendwelchen Dokumenten, die da nicht hingehören vollmüllen.

Unter Windows kann ich das zum grössten Teil, jetzt ist Unix dran. Wird eh langsam mal Zeit, und ich hab mich halt für FreeBSD und OpenBSD entschieden. Linux kommt vielleicht später mal (hat Linux irgendeinen maßgeblichen VORTEIL gegenüber *BSD?).
AAA und VPN sind lediglich Spielerei, um auch mal die Open Source Variante zu sehen, in der Firma krieg ich immer nur Cisco Produkte in die Finger, auf die Dauer etwas einseitig.

Hätte den Vorteil,
daß eigentlich nur ein Rechner so wirklich Internetzugriff
braucht, der Router würde entsprechend konfiguriert.

Inwiefern „schadet“ Internetzugriff?

Naja, nicht wirklich, aber:

Bin ich Anfänger,

Falsche Bescheidenheit.

Schmeichelei. In Sachen Unix & Co. bin ich echt unbeleckt. Aber dafür gibt’s ja man, info, freebsd.org, google und Sebastian.

Achja, eins fällt mir noch ein: Ich möchte „servant“ und „daemon“ natürlich gerne fernsteuern können, wahlweise auch mit GUI, von Linux und Windows aus, intern und via Internet. Da gibt es doch sicher Möglichkeiten, die das erlauben, ohne daß ich Scheunentore öffne, oder? Stichworte wären hier hilfreich; unter Win kenn ich da nur Exceed…

Das klingt alles ein wenig nach eierlegender Wollmilchsau, aber wenn man das Stück um Stück angeht, müsste das was werden können, oder? Muß ja nicht morgen alles fertig sein.

Sebastian

Doc.

Sebastian · 25. Juli 2002 um 21:46

[Samba]

Hm, gibt’s was schlankeres, das auch Windows-Maschinen Zugriff
auf Drucker und Dateien ermöglicht?

Dateien kann man über http/ftp bekommen, klar. Drucken können müsste man unter Windows auch direkt in den Druckerspooler. Aber ich habe da wirklich keine Ahnung von.

FTPd
HTTPd

Was wird damit?

Na, der FTP Server muß da auch mit drauf, da liegen ja
schließlich die Daten.

„Die Daten“?

‚publicfile‘ kennst Du? Eher spartanisch aber nett. Aus der Ecke gibt es noh andere FTP-server.

Und der Webserver soll eigentlich nichts anderes machen, als
die Dateien Leuten anzubieten, die mit FTP nicht klarkommen,
naja und zum kennenlernen (der Software).

Apache? fnord, publicfile?

Wenn Du IMAP hast (und das ist wirklich nett), kommen bei
großen Mailboxen die Platten derbe ins Schwitzen. Deshalb
würde ich den Proxy eher daraus lassen (der braucht auch
krüftig Platte…)

 9:34pm up 18 days, 6:24, 16 users, load average: 2.83, 2.86, 2.83
155 processes: 149 sleeping, 4 running, 2 zombie, 0 stopped
CPU states: 58.3% user, 36.1% system, 0.0% nice, 6.4% idle
Mem: 322480K av, 303204K used, 19276K free, 92676K shrd, 7016K buff
Swap: 396536K av, 112988K used, 283548K free 82156K cached

 PID USER PRI NI SIZE RSS SHARE STAT LIB %CPU %MEM TIME COMMAND
29816 imap 11 0 5140 5140 564 R 0 41.2 1.5 0:50 imapd
 315 root 10 0 41380 36M 2716 S 0 28.2 11.7 2536m X
14022 niehaus 4 0 26156 25M 7808 S 0 4.3 8.1 15:44 opera
 [...]

Nun, ich bin aber auch blöd genug, große IMAP-Mailboxen (> 10000 Mails) mit einem Schnulli-Rechner auf einer alten IDE-Platte zu horten.

Unter Windows kann ich das zum grössten Teil, jetzt ist Unix
dran. Wird eh langsam mal Zeit, und ich hab mich halt für
FreeBSD und OpenBSD entschieden. Linux kommt vielleicht später
mal (hat Linux irgendeinen maßgeblichen VORTEIL gegenüber
*BSD?).

Da kommen wir mitten ins Gebiet zahlreicher Grabenkämpfe und Anschaungsunterschiede. Zu Hause habe ich Linux. mail.socha.net läuft auf Open-BSD.

Solange man nicht am Kerel herumfrckelt, sind die Unterschiede an der Oberfläche IMHO marginal.

AAA und VPN sind lediglich Spielerei, um auch mal die Open
Source Variante zu sehen, in der Firma krieg ich immer nur
Cisco Produkte in die Finger, auf die Dauer etwas einseitig.

Guter Plan. FreeSWAN?

Achja, eins fällt mir noch ein: Ich möchte „servant“ und
„daemon“ natürlich gerne fernsteuern können,

ssh.

wahlweise auch
mit GUI,

Och nö, bitte nicht. Es gibt so kranke Sachen wie webmin, swat. Für die Administration von qmail/vpopmail/ezmlm gibt es eine *nette* WWW-Oberfläche.

Aber per ssh und Konsole ist das brauchbarer. Echt.

von Linux und Windows aus, intern und via Internet.
Da gibt es doch sicher Möglichkeiten, die das erlauben, ohne
daß ich Scheunentore öffne, oder?

Ja, ein aktuelles SSH.

Stichworte wären hier
hilfreich; unter Win kenn ich da nur Exceed…

Ja, es gibt wohl auch andere X-Server. Wenn ich mal Server bauen muß von Windows ist SSH the one and only…

Das klingt alles ein wenig nach eierlegender Wollmilchsau,
aber wenn man das Stück um Stück angeht, müsste das was werden
können, oder?

Ja. Definitiv.

Muß ja nicht morgen alles fertig sein.

Kluge Einstellung.

Sebastian

Malte_4b1c84 · 25. Juli 2002 um 22:12

Cut!
siehe Mail.

Ich denke, die Diskussion ist für dieses Brett nicht mehr wirklich interessant, zumindest lese ich das aus den zahlreichen Beiträgen der ganzen anderen Leute in diesem Thread!

Soweit jedenfalls schonmal vielen Dank.

Doc.