Permanenten VPN Tunnel zwischen 2 Standorte

[NSFH]

Da der TE eine 40MBit Verbindung hat (Uplink) ist ADS kein Problem, sollte auch recht flüssig laufen. Das natürlich lokale Server immer vorzuziehen sind ist klar.

 

[voodoo]

Ein anderer Ansatzpunkt wäre, dass an jedem Standort auf dem dort vorhandenen Synology Server ein AP installiert wird, die sich über die vpn Verbindung synchronisieren (AD Replikation). Dies hätte auch den Vorteil, dass wenn ein Domänen-Controller ausfallen würde, die anderen nahtlos übernehmen könnten. Dadurch wird die Wichtigkeit des VPN bzw deren Leistung noch weiter reduziert.

Edit: Sorry NSFH, du hast es ja quasi schon vornweg genommen, dass lokale Server besser seien. Hatte deinen Beitrag übersehen. Im Grunde wäre es ja dann die Lösung, die ich eben schilderte.

 

[blurrrr]

Naja, Auth-Cache (letzte Anmeldung) ist ja auch noch da, kommt eben darauf an, wieviele Mitarbeiter an dem Standort sitzen bzw. ob sich das überhaupt lohnt. Eine Clientanmeldung wäre auch ohne aktiv vorhandenen DC möglich, allerdings nur mit dem letzten angemeldeten Benutzerkonto. Sollte man sich dann mal anderweitig anmelden, wird zwingend wieder eine Verbindung zum AD benötigt. Site2Site kann man da sicherlich nutzen (inkl. entsprechenden DNS-Configs, ggf. via DNS-Repl, so nutze ich das bei mir) usw.... Frage ist halt wie das Budget aussieht. Was das VPN angeht bzw. generell die Internetanbindung - je nach Standort - kann es sich eben lohnen auch gewisse Redundanzen zu schaffen - je nachdem wie wichtig das alles so ist... aber auch wieder eine Frage des Budgets...

Das die Synos schon AD-Replikationen "out of the box" können, ist mir allerdings neu. Ist dem so? Einfach IP rein, Haken setzen und alles wird gut?
Ansonsten ist halt schwer Shell angesagt (wie im "Normalfall" eben auch), aber DRS, Kerberos und Co. dürften ja kein Problem darstellen...

 

[voodoo]

Danke für deine Ausführungen. Ob Synology AD-Replikation kann, weiß ich nicht und müsste erst noch recherchiert werden. Da deren OS auf einem Linux-System basiert, erhoffe ich mir letztlich, zumindest mit der Shell, so eine Replikation umsetzen zu können.

Auf die cached credentials möchte ich mich nicht alleine verlassen müssen. Ein redundantes AD System (jeden Standort einen) wäre mir lieber und wäre ausfallsicherer.

 

[NSFH]

Ich habe so ein Konstrukt laufen mit site2site VPN, aber das VPN wird hauptsächlich für Zugriffe auf zentrale Datenbestände genutzt. Die AD Services laufen immer lokal, wobei die Server über VPN replizieren. Auch statisches DHCP läuft lokal!
Das Risiko eines Ausfalls der Verbindung beim ISP wäre mir zu hoch.

 

[voodoo]

Verwendest du Synology AD oder hast du dafür einen dedizierten Windows Server am Start? Wenn erstgenanntes, könntest ja hier mal schreiben, wie du die Replikation hinbekommen hast.

 

[blurrrr]

Naja, die Replikation funktioniert auch via Samba4-DC, problem dabei ist vermutlich eher ein bisschen das Syno-eigene OS, aber ein Dockercontainer (oder eine kleine VM mit Linux) tut es ebenso gut. Zum Thema Replikation noch 2 kleine Links: https://wiki.samba.org/index.php/SysVol_replication_(DFS-R) & https://wiki.samba.org/index.php/Manually_Replicating_Directory_Partitions.

EDIT: Ich für mich würden den Ball wohl eher flach halten (bei kleinen Dateien und AD), PDC in die Zentrale (ggf. noch BDC dazu), Standorte mit redundanten (unterschiedlichen!) Internetzugängen inkl. Auto-Failover anbinden (z.B. DSL + LTE oder so), kleine Syno vor Ort (ggf. inkl. Datei-Replikation) und DNS-Sync mit der Zentrale (damit die Domain auch in den restlichen Standorten ansprechbar/verfügbar ist) und gut ist. Bedingt allerdings schon, dass die Zentrale eine "ordentliche" Anbindung hat. Alternativ packt man den ganzen Kram ins RZ (kleines eigenes Netz mit vServern, woran alle Standorte via S2S-VPN angedockt werden), dann muss man sich auch nicht um HA auf der Hardware-Ebene kümmern (und hat eine vernünftige Internetanbindung)

 

[NSFH]

@voodoo: Das oben beschriebene Konstrukt läuft komplett unter Windows Servern. Ab einem bestimmten Level ist da Synology nur noch Spielerei, obwohl ich die Cluster Lösungen der Syno schon in Erwägung gezogen habe. Da fehlen mir aber noch gänzlich die Erfahrungen wie zuverlässig das wirklich läuft.

 

[blurrrr]

Ab einem bestimmten Level ist da Synology nur noch Spielerei

So sehe ich das allerdings auch (auch wenn Synology das gerne anders sieht/darstellt). Allerdings kommt es auch immer darauf an, "wieviel" Aufwand man sich damit machen möchte... Nutzt ja alles nix, wenn der PDC in der Zentrale wegknallt, von daher bräuchte man da schon gewisse Redundanzen (natürlich auch wieder auf unterschiedlicher Hardware oder einem HA-Cluster), usw. Alternativ hält man den Ball halt flach und begnügt sich z.B. mit dem Minimum 1DC + S2S-VPN, oder halt etwas ausgebauter PDC+BDC in der Zentrale + S2S-VPN, oder eben den Vollausbau mit PDC+BDC in der Zentrale und zusätzlich noch jeweils 1 BDC pro Standort. Ich sag es mal so: für einen "vernünftigen" und "gesicherten" Betrieb sollten "sämtliche" Ausfallszenarien beleuchtet werden (Internetausfall, Softwareausfall, Hardwareausfall und nicht zu vergessen: menschliches Versagen) und das natürlich auch unter wirtschaftlichen Aspekten (aber das hatte ich ja schon erwähnt ). Was letzteres angeht, so würde ich tendentiell nicht an der Hardware und Lizenzen sparen, es aber auch nicht unbedingt übertreiben, sondern eher je nach Einsatzzweck zielgerichtete Entscheidungen treffen. Die Synos für Remotestandorte müssen z.B. nicht überdimensioniert sein, in der Zentrale wäre es hingegen eine Überlegung wert, ob man nicht Geräte in einer Größenordnung nimmt, welche auch direkt clusterfähig sind (zzgl. online-USV (gemeint ist nicht die Marke, sondern die Zugriffsart via Netzwerk statt USB)) und natürlich am besten noch an 2 verschiedene Stromkreisläufe angeschlossen (aber das ist schon wieder so eine Sache ). Damit wäre jedenfalls die "Verfügbarkeit" der Daten in der Zentrale einigermaßen gewährleistet (auch bei Updates inkl. Neustarts).

Ich persönlich setze - grade was die Virtualisierung angeht - lieber auf "erprobte" Software mit allem Schnickschnack und nutze die Synos nur als Storage-Einheiten (auch im Cluster, allerdings nur 1 Cluster testweise, ansonsten normale Storage-Server). Das funktioniert - bis auf einige NFS-Zicken zwischendurch - auch ganz gut. Kurzum: Virtualisierungsserver + Storageserver (Syno). Wie "klein" oder "groß" (und ausfallsicher) man das Konstrukt halten möchte, hängt wohl einzig und allein vom dafür vorgesehenen Budget ab. Entweder verteilt man alles hübsch, oder hält es zentral und redundant, oder man nimmt halt das Vollprogramm, aber dann wird es auch richtig teuer Egal wie man sich entscheidet, es sind auch andere Aspekte zu berücksichtigen wie eben auch die redundante Internetanbindung (und sei es nur mit Notfall-LTE-Sticks mit Prepaid-Karten).

Das die Fritzboxen nicht so die super Performance beim VPN bringen wurde hier ja schon öfters erörtert. Schon steht man kurz davor entsprechende Router/Geräte mit entsprechender Performance anzuschaffen, aber da gibt es eine Vielzahl von Meinungen zu (ich wäre der Sophos-Vertreter, NSFH eher der Bintec-Vertreter, andere schwören auf Lancom, wieder andere auf Draytek, usw.). Da Du ja eher der Selbermacher bist, hast Du eigentlich nur 2 Möglichkeiten: a) Hardware mit welcher "Du" gut klar kommst (wäre vorher zu testen, viele bieten da Demos der Webinterfaces an) und die auch garantiert die entsprechende Performance bietet, oder b) etwas in Richtung Enterprise-Hardware (aber dann ist nix mehr mit selber machen, da man da dann doch einiges an Knowhow braucht). Habt ihr eigentlich ein Rack (Serverschrank) in der Firma, oder steht eher alles im... Regal?

Ebenso zu beachten wäre natürlich auch das erwartete Wachstum der Firma innerhalb der nächsten paar Jahre (nicht, dass man da zu knapp kalkuliert mit den Ressourcen). Bei der Mitarbeiteranzahl wäre es mitunter auch schon eine Überlegung wert, ob man nicht in Richtung Terminalserver wandert (natürlich nur, wenn eure Software entsprechendes zulässt). Dann können Dir die Endgeräte auch egal sein und Du hast eigentlich nur dafür zu sorgen, dass die Zentrale immer erreichbar ist. Zudem der Vorteil, dass Du so ziemlich jedes Endgerät benutzen kannst (mitunter auch als webbased-Lösung - Desktop im Browser). Die Rechner müssten nix mehr können, die Datenhaltung ist zentral und verlässt das Haus nicht mehr (ausser zu Backupzwecken). Alternativ einfach alles ins RZ auslagern, dann musst Du Dich lediglich um eine einzige Sache kümmern: redundante Internetanbindung und ggf. Endgeräte. Backup am besten auch direkt im RZ erledigen lassen (die schaffen die Daten dann mit Sicherheit auch an einen anderen Standort in ein anderes RZ).

Ups... doch wieder etwas länger geworden... ich hör mal besser auf...

 

[NSFH]

Cluster, BDC usw, das sind alles Redundanzen und genau die machen es teuer. Wenn man dann noch LAN und Strom redundant haben will und in meinen Augen das grösste Problem, verschiedene ISP nutzen muss, damit beim Ausfall Internet nicht gleich die Redundanz beim gleichen Provider liegt, dann schlagen die Finanzresorts in den Firmen Alarm.
Ist halt immer die Frage wie lange kann eine Firma überleben, wenn die IT nicht läuft oder welcher Schaden entsteht, wenn die Arbeit der letzten Stunde verloren ist? Wenn man das in Euro errechnet hat man eine Basis, was sinnvoll ist redundant vorzuhalten.
Sind eben alles individuelle Faktoren die man berücksichtigen muss.

 

[blurrrr]

Nicht nur verschiedene ISPs, sondern vor allem verschiedene "Medien" (nutzt nämlich alles nix, wenn jemand den DSLAM umfährt, oder der Bagger das DSL-Kabel kappt ). Die Lösung via LTE mit Prepaid-Karte ist dabei noch eine ziemliche Low-Budget-Lösung (Router muss natürlich Failover beherrschen). Den Rest sehe ich ebenso - alles eine Frage der Wirtschaftlichkeit und des Budgets, aber ich glaube, dass hab ich nun schon oft genug gesagt

 

[voodoo]

Danke für eure Ausführen ihr Zwei. Sehr interessant zu lesen. Letztlich ist es so, dass Internet nicht sehr ausschlaggebend für die Arbeit ist. Da stört es niemanden, wenn es tagelang ausfällt. Wichtig ist nur die Anmeldung an den Rechnern und der Datei Zugriff auf den jeweiligen lokalen Synology-Server für die Mitarbeiter. Das Internet wird nur für ein nächtliches Backup der Daten auf einen Synology eines anderen Standorts benötigt, sowie dann für die Synchronisierung der AD User und Gruppen.

 

[blurrrr]

Also basierend auf "all" den bisherigen Informationen... Wenn die Leute nicht ständig zwischen den Standorten wechseln, denke ich, es ist für Dich - als "selfmade man" - (und alle beteiligten) vermutlich besser, wenn die Kirche im Dorf gelassen wird. AD-Controller "kann" man machen, muss man aber auch nicht. Das Konstrukt lief ja bisher auch ohne DC. Ist natürlich wieder eine nette Spielerei, aber auch von einem Windows-Server muss man erstmal Ahnung haben (und von einem Linux-Server sowieso, nicht, dass ich Dir das absprechen möchte, die Thematiken sind mitunter sehr umfangreich), dazu noch die AD-Replikation-Thematik (da kann man sich schon 3-5 Finger bei brechen)... ich würde mir das wirklich gut überlegen... Wenn Du das vorher erstmal nur im Testbetrieb laufen hast (ggf. vDSM bei jedem Standort), könnte man das testweise erstmal ein paar Monate laufen lassen (in der Zeit kannst Du Deinen Rechner ja in die Domäne hängen), um erstmal zu schauen, wie problemfrei das für Dich wirklich läuft. Gegen eine zusätzliche Syno am Zweitstandort spricht ja prinzipiell nichts (lokale Daten sind auch flotter greifbar).

 

[voodoo]

Mit Linux komme ich ganz gut klar. Habe mehrere Linux Administration Zertifikate (liegen allerdings auch schon 10 Jahre zurück harhar) und werkel auch viel mit Gaming Server und Raspberry Pies herum. Allerdings hast du vollkommen recht, dass es Spielerei ist. Schließlich geht es bisher auch ohne großen Domänen-Controller usw. Die User bekommen Standard Accounts in der Synology und können dann auf die Files zugreifen. Da ich allerdings in der komfortablen Lage bin parallel und ohne Zeitdruck ein zweites Netzwerk... eigentlich sogar eine ganz neue Infrastruktur aufbauen zu können, während die alte noch produktiv am laufen ist, wollte ich schauen, was man professioneller als bisher aufziehen kann (eigentlich ein Traum für einen Administrator). Dabei habe ich folgende Hardware pro Standort zur Verfügung:

• Synology RS818RP+
• UniFi Secure Gateway 4 Pro
• UniFi 48 Port Managed PoE+ Gigabit Switch with SFP
• Mehrere UniFi AP SHD
• FritzBox 7590 (noch)

Ich kenne auch die allermeisten hier genannten Begrifflichkeiten und kann sogar damit was anfangen. Was mir jedoch fehlt ist die Erfahrung bei der Erstellung der Architektur. Was in meinem Fall am meisten Sinn macht und nicht die Kirche aus dem Dorf reißt (um deine Metapher aufzugreifen). Daher bin ich für eure Hilfe wirklich sehr dankbar.

Eine Sorge ist auch noch, dass viele Notebooks MacBooks sind. Es gibt wohl eine recht ansprechende Lösung, diese in eine Windows Domäne zu bringen, aber das habe ich bisher auch nur gelesen.

 

[NSFH]

Da ist die Fritz der Störenfried. PPPoE mit der Fritz ist gruselig. Ersetze sie mit dem Vigor130 und stelle über die USG das site2site VPN her.
Da kannst du zB auf den Synos gegenseitige Datensicherung durchführen, optimal, da unterschiedliche Standorte.
Eine zweite lokale Sicherung könnte man einfach auf einen USB-Stick oder eine eSATA durchführen, und zwar mit dem Single Mode von Hyperbackup. So kann man im Fall der Fälle die eSATA/USB Stick an einen anderen PC hängen und hat alle Daten direkt im Zugriff, wenn auch vom Abend vorher. Das ist immer noch besser als nichts.
Mein worst case ist immer der Ausfall des Servers an sich. Bis man da Ersatz hat steht der Betrieb still. Daher liebäugele ich ja mit dem Clustering.

 

[blurrrr]

Wenn schon soviele Macbooks vorhanden sind (die ja nun auch nicht grade günstig sind), würd ich einfach erstmal zu einer zweiten RS greifen und einen HA-Cluster aufsetzen. Damit ist dann schon für Redundanz am Hauptstandort gesorgt und die Leute können solange arbeiten, bis - im Fall der Fälle - die USV-Batterie auch nichts mehr herzugeben hat.

Was den Rest angeht... wenn Zeit, Budget, Lust und Laune vorhanden sind - leg los! Allerdings vorher konzeptionell gut überlegen, was "Deinen" Ansprüchen gerecht wird (Meinungen gibt es immer sehr viele, schlussendlich zählt die eigene). Ich persönlich bin eindeutig ein Fan von Redundanzen (auch wenn man sie eher selten braucht und es ziemlich teuer ist, so garantiert es einem doch im hohen Maße die Verfügbarkeit und somit die Arbeitsfähigkeit der Mitarbeiter). Unify z.B. setze ich garnicht ein, als Sophos-Nutzer kommen bei mir nur die Blanko-APs von Sophos ins Haus, die auch direkt über die (redundante) Firewall gemanaged werden. Für Filialanbindungen gibt es die Sophos-RED-Devices (unabhängig vom Router vor Ort) und somit sind meinerseits sämtliche Ansprüche abgedeckt. Wie aber schon gesagt, da hat jeder so seine eigenen Macken

Die Vigor 130er Serie setze ich übrigens auch als ein als VDSL-Modem vor den Sophos-Geräten, ggf. zusätzlich ein LTE-Stick/Modem (oder LTE-Router) als Internet-Fallback. Ganz alternativ bleibt natürlich auch die Option (je nach Datenmengen) auf einen reinen RZ-Betrieb zu setzen und die Standorte entsprechend anzudocken. Ist mittlerweile eigentlich meine liebste Lösung, da der Kunde kaum noch Hardware im Haus hat. Kommt aber eben auch darauf an, wie groß der Datenbestand ist, bzw. wie groß die Dateien sind mit welchen gearbeitet wird. Um dieses Problem zu umschiffen, bietet sich da ggf. auch ein Terminalserver an, aber da kommt es dann wieder auf die eingesetzte Software an (bei Macs hört sich dann nämlich schon wieder weniger praktikabel an ). Colocation wäre eine Möglichkeit, vServer eine andere. Mit letzterem wäre man jedenfalls auch vor Hardwareausfällen geschützt (solange das Konzept beim Hoster auch stimmig ist). Allerdings ist dann auch weniger zu "basteln" und ich glaube, da könnte Dir dann doch ganz schnell langweilig werden

Was den Cluster angeht, läuft bei mir seit geraumer Zeit ziemlich schmerzfrei, lediglich die NFS-Verbindung zickt manchmal rum (ist aber meist nach einem Reboot der Kisten wieder in Ordnung). Dient aber auch nur als kleiner Storage für ein paar kleinere VMs.

 

[NSFH]

Läuft dein Cluster auf 100% identisciher Hw oder hast du Abweichungen?

 

[voodoo]

Was genau meint ihr mit Cluster und für was steht Hw?

 

[NSFH]

Hw=Hardware
HA Cluster=https://www.synology.com/de-de/dsm/feature/high_availability

 

[voodoo]

Immer diese Schreibfaulen

Das Syno Cluster ist interessant, aber für meine Zwecke erst einmal zu viel des Guten. Das kann ich nachträglich noch hinzufügen, wenn alles mal richtig rund läuft.