Ein paar Fragen zum Anfang

[plex88]

Guten Tag liebe Server Community,
Ich bin in meiner Firma für die Entwicklung und Vertrieb der Testversionen einer Software zuständig. Da die Installation von Testversionen doch sehr Zeitaufwändig ist habe ich mir folgendes überlegt... Einen Root Server anmieten und auf diesem Virtuelle Windows Maschinen per KVM einrichten. So kann ich unseren Kunden einen Testzugang per RDP anbieten. Soweit so gut, nun stellt sich zuerst die Frage wie kann ich dieses vorhaben übers Netz realisieren. Wie kann ich die Virtuellen Maschinen ins Netz einbinden dass der Zugriff von aussen möglich ist? Die Maschinen sollten sich optimalerweise nicht gegenseitig sehen können. Kann man beim Anbieter verschiedene Domains für die einzelnen Maschinen anlegen (z.B. test1.severanbieter.de) . Ich habe leider noch nicht so viel Erfahrung in diesem Bereich also nicht gleich steinigen *duckundweg*
Vielen Dank schonmal!

 

[d4f]

Du hast offensichtlich von Server im Generellen und den entsprechenden Betriebssystemen insbesonder keine bis nur wenig Erfahrung. Entsprechend wäre es eventuell empfehlenswert dazu ein Gesuche für einen entsprechenden Sysadmin auf zu geben. Ist nicht ganz billig, aber ohne die (steile und lange) Lernkurve eines Server-Systems. Speziell bei Virtualisierung gibt es doch so jede Menge Stolpersteine.

Kann man beim Anbieter verschiedene Domains für die einzelnen Maschinen anlegen (z.B. test1.severanbieter.de)

RDP, wie generell jedes Protokoll, ist IP-basierend. Es kennt also sowas wie Domains nicht. Die Domain wird vor der Verbindung in die zugehörige IP umgewandelt und diese dann im weiteren Verlauf verwendet.

Wie kann ich die Virtuellen Maschinen ins Netz einbinden dass der Zugriff von aussen möglich ist?

Hier bietet sich bspw die Verwendung eines Bridge-Netzwerks auf dem Host an, also dass nur der Host mit der Machine kommunizieren kann. Über Port-Weiterleitung in der Firewall des Host-Systems kannst du dann selektiv jeweils einen Port deiner Wahl auf den RDP-Zielport der unterschiedlichen VM's weiterleiten.
Sollten die VM's Internetzugriff benötigen, so ist die einfachste Lösung ein zweites Netzwerkinterface welches über NAT reagiert.

Nicht nur ist dies aufgrund des IPv4-Adressmangels einfacher und leichter zu skalieren sondern es erhöht auch die Sicherheit da die Zielrechner -bis auf den RDP-Port - nicht von extern erreichbar ist was zumal bei Desktop-Varianten von Windows und je nach Software-Installation recht schnell fatal werden kann. Ich habe ein solches Setup exakt für externen Zugriff im Einsatz für einen Auftragskunden welche spezielle Software bereitstellen muss - bislang absolut ohne Probleme.
Man kann die VM nach jedem Besuch auch einfach zurücksetzen was für jeden Besucher genau das gleiche Erlebnis ohne Probleme oder Störungen verspricht.

Die Maschinen sollten sich optimalerweise nicht gegenseitig sehen können

Das wäre im vorgeschlagenen Setup gegeben.

Ich habe leider noch nicht so viel Erfahrung in diesem Bereich also nicht gleich steinigen

Er hat Jehova gesagt!

 

[IP-Projects.de]

Du arbeitest ja soweit ich sehe schon mit KVM aktuell. Eine einfache möglichkeit der Virtualisierung wäre daher Proxmox. Proxmox unterstützt VMs als KVM und OpenVZ. Du kannst als im Internet eine vergleichbare Umgebung aufsetzen wie du es aktuell betreibst. Auch kann man den Windows V-Servern eigene IP-Adressen zuweisen auf die man Subdomains/Domains legen kann um darüber per RDP auf die einzelnen V-Server zu verbinden.

Je nach dem wie Kritisch deine Software auf den VMs ist, kannst du dir noch überlegen vor die Windows VMs eine Hardware Firewall zu binden. Es gibt hier kostenfreie Lösungen und kostenpflichtige Lösungen. Wir selbst bevorzugen Astaro/Sophos als Firewallgateway.

Wenn du dir kostentechnisch noch keine Gedanken gemacht hast -> Ein Server der 4-8 Windows VMs verwalten kann kostet mit Proxmox ca. 100 € / Monat brutto +- 10 €. Die Firewall kostet je nach Funktionsumfang 25 - 150 € brutto / Monat. Du solltest also diesen Kostenrahmen rechnen für die Realisierung um Netz.

 

[d4f]

Wenn du dir kostentechnisch noch keine Gedanken gemacht hast -> Ein Server der 4-8 Windows VMs verwalten kann kostet mit Proxmox ca. 100 € / Monat brutto +- 10 €. Die Firewall kostet je nach Funktionsumfang 25 - 150 € brutto / Monat. Du solltest also diesen Kostenrahmen rechnen für die Realisierung um Netz.

Das nenne ich mal Overkill. Ein normaler 0815 Rootserver eines beliebigen Anbieters, bspw den Hetzner EX4 für 49.- im Monat, schafft das Angeforderte locker. Been there, done that. Works.

Auch kann man den Windows V-Servern eigene IP-Adressen zuweisen auf die man Subdomains/Domains legen kann um darüber per RDP auf die einzelnen V-Server zu verbinden.

Aufgrund der Fragestellung gehe ich davon aus dass Windows Desktop-Varianten und entsprechende Software gemeint ist. Zu empfehlen so etwas direkt ans Netz zu schliessen ist doch schon etwas leichtfertig - oder dient dies zur Rechtfertigung der Firewall

 

[IP-Projects.de]

Aufgrund der Fragestellung gehe ich davon aus dass Windows Desktop-Varianten und entsprechende Software gemeint ist. Zu empfehlen so etwas direkt ans Netz zu schliessen ist doch schon etwas leichtfertig - oder dient dies zur Rechtfertigung der Firewall

Das ist die Frage, Desktop oder Server Variante. Und ja, das wäre die Frage wie kritisch die Daten sind ob es hier einer Firewall Bedarf.

Proxmox selbst hat die Eigenschaft, dass es von Haus aus kein Software RAID unterstützt. Auch bei Hetzner wäre es also so, dass man min.

- 2-Port Hardware-RAID Controller 13 €/Monat
- 1 - 2 weitere IPs - 2 €/Monat
- Flexi-Pack 15 €/Monat

braucht. Das wären dann also 49,00 € + 13,00 € + 2,00 € + 15,00 € = 79,00 € / Monat.

 

[virtual2]

Proxmox selbst hat die Eigenschaft, dass es von Haus aus kein Software RAID unterstützt. Auch bei Hetzner wäre es also so, dass man min.
.

Minimales Debian aufsetzen und Proxmox aus den Sourcen installieren, dann stellt das gar kein Problem dar

Ein Bekannter nutzt im übrigen die fertige Proxmox Distribution mit Softwareraid. War meines Wissens zwar sehr viel gefrickel, läuft aber nach wie vor hervorragend.

 

[IP-Projects.de]

Minimales Debian aufsetzen und Proxmox aus den Sourcen installieren, dann stellt das gar kein Problem dar

Ein Bekannter nutzt im übrigen die fertige Proxmox Distribution mit Softwareraid. War meines Wissens zwar sehr viel gefrickel, läuft aber nach wie vor hervorragend.

Das ist aber doch eher die Profi Variante oder ? Ich weiß, dass es auch geht, habe aber auch schon sehr viel damit gekämpft.

 

[virtual2]

Das ist aber doch eher die Profi Variante oder ? Ich weiß, dass es auch geht, habe aber auch schon sehr viel damit gekämpft.

Na, das ist Ansichtssache

In der Arbeit installiere ich andauernd Proxmox Nodes im Cluster aus den Sourcen - Debian Install via PXE, Proxmox drauf, fertig.

 

[AdrianW]

Debian minimal + swraid aufsetzen dauert ca. 20min, Proxmox noch dazu installieren keine weitere halbe Stunde

Von daher - easy going

 

[plex88]

Also erstmal Danke für die vielen Antworten!
Ich habe mir ein System mit Proxmox Testweise aufgesetzt. Eigentlich ist jetzt nur noch unklar wie ich die Server nach aussen erreichbar mache? Habe ich zb bei Hetzner einen Router an dem ich die Portweiterleitungen eintrichten kann oder habe ich nur eine öffentliche IP?
mfg

 

[d4f]

Habe ich zb bei Hetzner einen Router an dem ich die Portweiterleitungen eintrichten kann oder habe ich nur eine öffentliche IP?

Gegenfrage; hast du mehr als eine IP und/oder willst du die VM direkt erreichbar machen? Falls du es wie von mir vorgeschlagen aufsetzen willst ist dies nicht notwendig.
Falls du auf NAT setzt so wird die Portweiterleitung im Host durchgeführt.

Zuerst musst du im System eine Bridge konfigurieren welche in virtuelles internes Netzwerk darstellt:

auto vmbr0
iface vmbr0 inet static
        address  INTERNE.HOST.IP.ADRESSE (bspw 192.168.0.1)
        netmask  255.255.255.0
        broadcast  192.168.0.0
        bridge_ports none
        bridge_stp off
        bridge_fd 0

Danach leitest du die entsprechenden Ports auf die Bridge weiter. Eine Bridge für alle Container sollte generell ausreichend sein. Im Beispiel wären die Ports 3311 für RDP auf Container 1 mit interner IP 192.168.0.11 sowie 3312 für Container 2.

#!/usr/bin/env /bin/bash
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i eth0 -o vmbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i vmbr0 -o eth0 -j ACCEPT

#Server 1
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 3311 -j DNAT --to 192.168.0.11:3389
iptables -A PREROUTING -t nat -i eth0 -p udp --dport 3311 -j DNAT --to 192.168.0.11:3389

#Server 2
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 3312 -j DNAT --to 192.168.0.12:3389
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 3312 -j DNAT --to 192.168.0.12:3389

Überprüfe auch ob /etc/sysctl.conf folgende Einträge hat:

net.ipv4.ip_forward=1
net.ipv4.conf.all.rp_filter=1
net.ipv4.icmp_echo_ignore_broadcasts=1

Das zusätzliche Netzwerk für Internetzugriff der VM's ist leicht angelegt; hierzu konfigurierst du in Proxmox ein weiteres Netzwerkinterface (sollte jeweils das Erste in der Liste sein aus Einfachheitsgründen für das Routing) welches als NAT gesetzt ist. Dieses erhält automatisch eine virtuelle IP vom Host und kann wie ein üblicher aber schneller DSL-Zugang hinter Router verwendet werden.

 

[plex88]

vielen dank d4f! ich werde deine Lösung gleich mal am Test Server ausprobieren!
Eigentlich würde mir dann eine IP ausreichen da ich sie ja intern auf die verschiedenen vms weiterleiten kann oder?