add site about vm hosting

content/vm-hosting.md

@@ -0,0 +1,115 @@
++++
+title = "VM Hosting"
+weight = 9
++++
+# VM Hosting im Reudnetz
+
+Das Reudnetz hostet für Kund:inen und befreundete Orgas VMs.
+Bei Interesse könnt ihr euch einfach per Mail an uns wenden (`mail [at] reudnetz [dot] org`)
+
+
+## Technischer Überblick
+
+### Features
+
+* 2 vCPUs
+* 2GB RAM
+* 50GB Disk
+* 150GB zusätzlicher Speicher pro Organisation für Backups und ISOs
+* Netzwerk
+  * eigenes VLAN pro VM
+  * `v4`: `/30` pro VLAN/VM (RFC1918)
+  * `v6`: `/64` pro VM (geroutet auf link-local der VM)
+  * (optional) v4 port-forwarding
+  * (optional) v4 reverse-proxy für http/https
+* (optional) "ready-to-use" VMs
+  * für gängige Linux-Distributionen die cloud-images anbieten
+  * Provisionierung der VMs über `cloud-init`
+
+_Solltet ihr mehr Resourcen benötigen könnt ihr euch einfach melden_
+
+### Virtualisierungslösung
+
+Wir nutzen [Proxmox VE](proxmox.org) als Virtualisierungslösung. Jede Nutzer:in bekommt einen Zugang zur WebGUI um ihre VMs zu verwalten (Starten, Stoppen, ISO einlegen uvm.).
+
+## Berechtigunskonzept
+
+Wir nutzen Gruppen, Rollen und Berechtigungen um den Proxmox mandantenfähig zu machen.
+Leider können wir euch keine Hardware-Kontingente zuweisen damit ihr eure eigenen VMs erstellen könnt (alla OpenStack, Hetzner, usw.).
+Wir erstellen euch die VMs und weisen die euch "unveränderbar" zu. Damit könnt ihr sie administrieren (starten, stoppen, ISO einlegen usw). aber keine Hardwareeigentschaften verändern (zB. mehr Speicher zuweisen).
+
+
+## Threat Models
+
+Ihr solltet folgende Dinge beachten, wenn ihr eine VM bei uns habt.
+
+
+### Generischer Virtualisierungsdisclaimer
+
+Technisch bedingt kann der Virtualisierungsserver/Hypervisor alle 3 Regeln der IT-Sicherheit für eine VM brechen:
+
+* `Confidentiality`: der Hypervisor hat Einblick in alle Geräte der VM (CPU, RAM, Disk, Network, ...)
+* `Integrity`: der Hypervisor kann den Zustand jedes Gerätes der VM verändern
+* `Availability`: der Hypervisor kann eine VM ausschalten
+
+Somit kann auch jede Person, die administrativen Zugang zum Hypervisor hat, die selben Regeln brechen.
+
+Außerdem können Bugs in der Virtualisierungsschicht dafür sorgen das VMs "ausbrechen" und den Hypervisor und oder andere VMs übernehmen können.
+
+Dies gilt für alle Cloud-/Virtualisierungsangebote, nicht nur für die vom Reudnetz :)
+
+
+### Full Disk Encryption
+
+Wir nutzen Proxmox als Virtualisierungsplattform mit ZFS als Storage-Backend.
+Dies ermöglicht uns das `Storage Replication` Feature von Proxmox zu benutzen.
+
+Dadurch werden die Disks aller VMs regelmäßige auf alle Virtualisierungsserver gespiegelt.
+Das ermöglicht uns:
+* Wartungen an den Virtualisierungsserver ohne Ausfall für die VMs vorzunehmen (durch schnelle Live-Migrationen)
+* Im Falle eines Ausfalles die VMs schneller verfügbar zu machen
+
+Leider [verhindert](https://bugzilla.proxmox.com/show_bug.cgi?id=2350) die Nutzung dieses Features aktuell die Möglichkeit die Virtualisiserungsserver zu verschlüsseln (aka `full disk encryption`).
+
+Somit sind unsere Virtualisierungsserver nicht verschlüsselt.
+Wenn jemensch die Virtualisierungsserver aus dem Keller trägt hat diese Person auch Zugriff auf die Platten der VMs.
+
+Um das zu verhindern müsst ihr eure VMs selber verschlüsseln. Bitte habt dabei allerdings im Hinterkopf dass wir aus einer laufenden VM auch die Verschlüsselungskeys extrahieren könnten.
+Somit ist dies nur ein Schutz gegen physischen Diebstahl der VM - der `Generische Virtualisierungsdisclaimer` gilt trotzdem.
+
+---
+
+**Solltet ihr eine "ready-to-use" VM bestellen hat diese keine full-disk-encryption !**
+
+---
+
+## Disclaimer
+
+
+### Backups
+
+Wir machen aktuell keine Backups eurer VMs - wenn der Storage kaputt geht sind eure VMs weg.
+Somit müsst ihr euch selber um die Sicherung eurer Daten aus der VM kümmern.
+
+
+### Verfügbarkeit
+
+Wie alle Dienste des Reudnetzes sind auch die VMs auf `best-effort` Basis.
+Da wir aktuell noch keinen Cluster haben müsst ihr mit ein bis zwei Ausfällen pro Monat rechnen für Updates des Hypervisors (ihr werdet natürlich vorher benachrichtigt).
+
+
+### Anbindung
+
+Eure VMs teilen sich mit dem Rest des Reudnetzes unseren symmetrischen 1G Uplink.
+Der Router, der die VMs (aktuell) terminiert, kann kein line-rate routing. Deswegen teilen sich alle VMs aktuell 500mbit/s symmetrisch.
+
+
+### Haftung
+
+---
+
+**Dies ist keine juristische Einschätzung**
+
+---
+
+Ihr mietet die VM von uns und haftet deswegen auch für mögliche Straftaten.