From 81388f6902cc41aaa4fdd67188e15f0c68795b04 Mon Sep 17 00:00:00 2001 From: Gregor Michels Date: Thu, 20 Apr 2023 20:17:40 +0200 Subject: [PATCH] add site about vm hosting --- content/vm-hosting.md | 115 ++++++++++++++++++++++++++++++++++++++++++ 1 file changed, 115 insertions(+) create mode 100755 content/vm-hosting.md diff --git a/content/vm-hosting.md b/content/vm-hosting.md new file mode 100755 index 0000000..fa5487e --- /dev/null +++ b/content/vm-hosting.md @@ -0,0 +1,115 @@ ++++ +title = "VM Hosting" +weight = 9 ++++ +# VM Hosting im Reudnetz + +Das Reudnetz hostet für Kund:inen und befreundete Orgas VMs. +Bei Interesse könnt ihr euch einfach per Mail an uns wenden (`mail [at] reudnetz [dot] org`) + + +## Technischer Überblick + +### Features + +* 2 vCPUs +* 2GB RAM +* 50GB Disk +* 150GB zusätzlicher Speicher pro Organisation für Backups und ISOs +* Netzwerk + * eigenes VLAN pro VM + * `v4`: `/30` pro VLAN/VM (RFC1918) + * `v6`: `/64` pro VM (geroutet auf link-local der VM) + * (optional) v4 port-forwarding + * (optional) v4 reverse-proxy für http/https +* (optional) "ready-to-use" VMs + * für gängige Linux-Distributionen die cloud-images anbieten + * Provisionierung der VMs über `cloud-init` + +_Solltet ihr mehr Resourcen benötigen könnt ihr euch einfach melden_ + +### Virtualisierungslösung + +Wir nutzen [Proxmox VE](proxmox.org) als Virtualisierungslösung. Jede Nutzer:in bekommt einen Zugang zur WebGUI um ihre VMs zu verwalten (Starten, Stoppen, ISO einlegen uvm.). + +## Berechtigunskonzept + +Wir nutzen Gruppen, Rollen und Berechtigungen um den Proxmox mandantenfähig zu machen. +Leider können wir euch keine Hardware-Kontingente zuweisen damit ihr eure eigenen VMs erstellen könnt (alla OpenStack, Hetzner, usw.). +Wir erstellen euch die VMs und weisen die euch "unveränderbar" zu. Damit könnt ihr sie administrieren (starten, stoppen, ISO einlegen usw). aber keine Hardwareeigentschaften verändern (zB. mehr Speicher zuweisen). + + +## Threat Models + +Ihr solltet folgende Dinge beachten, wenn ihr eine VM bei uns habt. + + +### Generischer Virtualisierungsdisclaimer + +Technisch bedingt kann der Virtualisierungsserver/Hypervisor alle 3 Regeln der IT-Sicherheit für eine VM brechen: + +* `Confidentiality`: der Hypervisor hat Einblick in alle Geräte der VM (CPU, RAM, Disk, Network, ...) +* `Integrity`: der Hypervisor kann den Zustand jedes Gerätes der VM verändern +* `Availability`: der Hypervisor kann eine VM ausschalten + +Somit kann auch jede Person, die administrativen Zugang zum Hypervisor hat, die selben Regeln brechen. + +Außerdem können Bugs in der Virtualisierungsschicht dafür sorgen das VMs "ausbrechen" und den Hypervisor und oder andere VMs übernehmen können. + +Dies gilt für alle Cloud-/Virtualisierungsangebote, nicht nur für die vom Reudnetz :) + + +### Full Disk Encryption + +Wir nutzen Proxmox als Virtualisierungsplattform mit ZFS als Storage-Backend. +Dies ermöglicht uns das `Storage Replication` Feature von Proxmox zu benutzen. + +Dadurch werden die Disks aller VMs regelmäßige auf alle Virtualisierungsserver gespiegelt. +Das ermöglicht uns: +* Wartungen an den Virtualisierungsserver ohne Ausfall für die VMs vorzunehmen (durch schnelle Live-Migrationen) +* Im Falle eines Ausfalles die VMs schneller verfügbar zu machen + +Leider [verhindert](https://bugzilla.proxmox.com/show_bug.cgi?id=2350) die Nutzung dieses Features aktuell die Möglichkeit die Virtualisiserungsserver zu verschlüsseln (aka `full disk encryption`). + +Somit sind unsere Virtualisierungsserver nicht verschlüsselt. +Wenn jemensch die Virtualisierungsserver aus dem Keller trägt hat diese Person auch Zugriff auf die Platten der VMs. + +Um das zu verhindern müsst ihr eure VMs selber verschlüsseln. Bitte habt dabei allerdings im Hinterkopf dass wir aus einer laufenden VM auch die Verschlüsselungskeys extrahieren könnten. +Somit ist dies nur ein Schutz gegen physischen Diebstahl der VM - der `Generische Virtualisierungsdisclaimer` gilt trotzdem. + +--- + +**Solltet ihr eine "ready-to-use" VM bestellen hat diese keine full-disk-encryption !** + +--- + +## Disclaimer + + +### Backups + +Wir machen aktuell keine Backups eurer VMs - wenn der Storage kaputt geht sind eure VMs weg. +Somit müsst ihr euch selber um die Sicherung eurer Daten aus der VM kümmern. + + +### Verfügbarkeit + +Wie alle Dienste des Reudnetzes sind auch die VMs auf `best-effort` Basis. +Da wir aktuell noch keinen Cluster haben müsst ihr mit ein bis zwei Ausfällen pro Monat rechnen für Updates des Hypervisors (ihr werdet natürlich vorher benachrichtigt). + + +### Anbindung + +Eure VMs teilen sich mit dem Rest des Reudnetzes unseren symmetrischen 1G Uplink. +Der Router, der die VMs (aktuell) terminiert, kann kein line-rate routing. Deswegen teilen sich alle VMs aktuell 500mbit/s symmetrisch. + + +### Haftung + +--- + +**Dies ist keine juristische Einschätzung** + +--- + +Ihr mietet die VM von uns und haftet deswegen auch für mögliche Straftaten.