add site about vm hosting
This commit is contained in:
parent
b474c68a5f
commit
81388f6902
1 changed files with 115 additions and 0 deletions
115
content/vm-hosting.md
Executable file
115
content/vm-hosting.md
Executable file
|
|
@ -0,0 +1,115 @@
|
||||||
|
+++
|
||||||
|
title = "VM Hosting"
|
||||||
|
weight = 9
|
||||||
|
+++
|
||||||
|
# VM Hosting im Reudnetz
|
||||||
|
|
||||||
|
Das Reudnetz hostet für Kund:inen und befreundete Orgas VMs.
|
||||||
|
Bei Interesse könnt ihr euch einfach per Mail an uns wenden (`mail [at] reudnetz [dot] org`)
|
||||||
|
|
||||||
|
|
||||||
|
## Technischer Überblick
|
||||||
|
|
||||||
|
### Features
|
||||||
|
|
||||||
|
* 2 vCPUs
|
||||||
|
* 2GB RAM
|
||||||
|
* 50GB Disk
|
||||||
|
* 150GB zusätzlicher Speicher pro Organisation für Backups und ISOs
|
||||||
|
* Netzwerk
|
||||||
|
* eigenes VLAN pro VM
|
||||||
|
* `v4`: `/30` pro VLAN/VM (RFC1918)
|
||||||
|
* `v6`: `/64` pro VM (geroutet auf link-local der VM)
|
||||||
|
* (optional) v4 port-forwarding
|
||||||
|
* (optional) v4 reverse-proxy für http/https
|
||||||
|
* (optional) "ready-to-use" VMs
|
||||||
|
* für gängige Linux-Distributionen die cloud-images anbieten
|
||||||
|
* Provisionierung der VMs über `cloud-init`
|
||||||
|
|
||||||
|
_Solltet ihr mehr Resourcen benötigen könnt ihr euch einfach melden_
|
||||||
|
|
||||||
|
### Virtualisierungslösung
|
||||||
|
|
||||||
|
Wir nutzen [Proxmox VE](proxmox.org) als Virtualisierungslösung. Jede Nutzer:in bekommt einen Zugang zur WebGUI um ihre VMs zu verwalten (Starten, Stoppen, ISO einlegen uvm.).
|
||||||
|
|
||||||
|
## Berechtigunskonzept
|
||||||
|
|
||||||
|
Wir nutzen Gruppen, Rollen und Berechtigungen um den Proxmox mandantenfähig zu machen.
|
||||||
|
Leider können wir euch keine Hardware-Kontingente zuweisen damit ihr eure eigenen VMs erstellen könnt (alla OpenStack, Hetzner, usw.).
|
||||||
|
Wir erstellen euch die VMs und weisen die euch "unveränderbar" zu. Damit könnt ihr sie administrieren (starten, stoppen, ISO einlegen usw). aber keine Hardwareeigentschaften verändern (zB. mehr Speicher zuweisen).
|
||||||
|
|
||||||
|
|
||||||
|
## Threat Models
|
||||||
|
|
||||||
|
Ihr solltet folgende Dinge beachten, wenn ihr eine VM bei uns habt.
|
||||||
|
|
||||||
|
|
||||||
|
### Generischer Virtualisierungsdisclaimer
|
||||||
|
|
||||||
|
Technisch bedingt kann der Virtualisierungsserver/Hypervisor alle 3 Regeln der IT-Sicherheit für eine VM brechen:
|
||||||
|
|
||||||
|
* `Confidentiality`: der Hypervisor hat Einblick in alle Geräte der VM (CPU, RAM, Disk, Network, ...)
|
||||||
|
* `Integrity`: der Hypervisor kann den Zustand jedes Gerätes der VM verändern
|
||||||
|
* `Availability`: der Hypervisor kann eine VM ausschalten
|
||||||
|
|
||||||
|
Somit kann auch jede Person, die administrativen Zugang zum Hypervisor hat, die selben Regeln brechen.
|
||||||
|
|
||||||
|
Außerdem können Bugs in der Virtualisierungsschicht dafür sorgen das VMs "ausbrechen" und den Hypervisor und oder andere VMs übernehmen können.
|
||||||
|
|
||||||
|
Dies gilt für alle Cloud-/Virtualisierungsangebote, nicht nur für die vom Reudnetz :)
|
||||||
|
|
||||||
|
|
||||||
|
### Full Disk Encryption
|
||||||
|
|
||||||
|
Wir nutzen Proxmox als Virtualisierungsplattform mit ZFS als Storage-Backend.
|
||||||
|
Dies ermöglicht uns das `Storage Replication` Feature von Proxmox zu benutzen.
|
||||||
|
|
||||||
|
Dadurch werden die Disks aller VMs regelmäßige auf alle Virtualisierungsserver gespiegelt.
|
||||||
|
Das ermöglicht uns:
|
||||||
|
* Wartungen an den Virtualisierungsserver ohne Ausfall für die VMs vorzunehmen (durch schnelle Live-Migrationen)
|
||||||
|
* Im Falle eines Ausfalles die VMs schneller verfügbar zu machen
|
||||||
|
|
||||||
|
Leider [verhindert](https://bugzilla.proxmox.com/show_bug.cgi?id=2350) die Nutzung dieses Features aktuell die Möglichkeit die Virtualisiserungsserver zu verschlüsseln (aka `full disk encryption`).
|
||||||
|
|
||||||
|
Somit sind unsere Virtualisierungsserver nicht verschlüsselt.
|
||||||
|
Wenn jemensch die Virtualisierungsserver aus dem Keller trägt hat diese Person auch Zugriff auf die Platten der VMs.
|
||||||
|
|
||||||
|
Um das zu verhindern müsst ihr eure VMs selber verschlüsseln. Bitte habt dabei allerdings im Hinterkopf dass wir aus einer laufenden VM auch die Verschlüsselungskeys extrahieren könnten.
|
||||||
|
Somit ist dies nur ein Schutz gegen physischen Diebstahl der VM - der `Generische Virtualisierungsdisclaimer` gilt trotzdem.
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
**Solltet ihr eine "ready-to-use" VM bestellen hat diese keine full-disk-encryption !**
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Disclaimer
|
||||||
|
|
||||||
|
|
||||||
|
### Backups
|
||||||
|
|
||||||
|
Wir machen aktuell keine Backups eurer VMs - wenn der Storage kaputt geht sind eure VMs weg.
|
||||||
|
Somit müsst ihr euch selber um die Sicherung eurer Daten aus der VM kümmern.
|
||||||
|
|
||||||
|
|
||||||
|
### Verfügbarkeit
|
||||||
|
|
||||||
|
Wie alle Dienste des Reudnetzes sind auch die VMs auf `best-effort` Basis.
|
||||||
|
Da wir aktuell noch keinen Cluster haben müsst ihr mit ein bis zwei Ausfällen pro Monat rechnen für Updates des Hypervisors (ihr werdet natürlich vorher benachrichtigt).
|
||||||
|
|
||||||
|
|
||||||
|
### Anbindung
|
||||||
|
|
||||||
|
Eure VMs teilen sich mit dem Rest des Reudnetzes unseren symmetrischen 1G Uplink.
|
||||||
|
Der Router, der die VMs (aktuell) terminiert, kann kein line-rate routing. Deswegen teilen sich alle VMs aktuell 500mbit/s symmetrisch.
|
||||||
|
|
||||||
|
|
||||||
|
### Haftung
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
**Dies ist keine juristische Einschätzung**
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
Ihr mietet die VM von uns und haftet deswegen auch für mögliche Straftaten.
|
||||||
Loading…
Reference in a new issue