मैंने रूस में व्यापार करने का पहला नियम कैसे लागू किया

"1। सर्वर को विदेश में रखें »
(c) रूस में सुरक्षित व्यवसाय के संचालन के लिए 9.5 नियम

परिचयात्मक भाग।

हम 10 कर्मचारियों की एक छोटी कंपनी हैं, जिनमें से आधे समय-समय पर दूरस्थ रूप से काम करते हैं।
हमारे पास शुरू में क्या था: विंडोज और टर्मिनल एक्सेस वाला एक सर्वर, जो कार्यालय में था। सभी उपयोगकर्ताओं के पास लैपटॉप थे। हमारे पास कोई विशेष गोपनीय जानकारी नहीं है, केवल व्यवसाय के लिए महत्वपूर्ण जानकारी को छोड़कर।
एक बिंदु पर, मैं व्यामोह द्वारा पूरी तरह से "समाप्त" हो गया था और कार्यालय के बाहर सर्वर को स्थानांतरित करने का निर्णय लिया गया था।



1) हमने दो सर्वर किराए पर लिए: एक जर्मनी में, दूसरा नीदरलैंड में।
कॉन्फ़िगरेशन समान हैं: Intel Xeon Quad Core E3-1230 3.20 GHz / 8GB / 2x 1TB।
अनिवार्य शर्तें थीं: आईपी-केवीएम 24x7, घड़ी के चारों ओर 4 घंटे तक तकनीकी समर्थन प्रतिक्रिया की गारंटी, अगले-व्यावसायिक-दिन सर्वर प्रतिस्थापन गारंटी (एनबीडी) और असीमित यातायात।
अतिरिक्त सॉफ़्टवेयर आवश्यकताएँ: Windows 2008 मानक, Windows 2008 एंटरप्राइज़, टर्मिनल लाइसेंस और MS Office (Word, Excel, PowerPoint)
इन इच्छाओं ने एक शानदार बजट निर्धारित किया: 756 यूरो / महीना।

होस्टर्स को अनाम नहीं छोड़ा जाएगा। मैं केवल यह कह सकता हूं कि वेबमनी के माध्यम से भुगतान करने की इच्छा (यानी क्रेडिट कार्ड द्वारा नहीं) के कारण, मुझे पुनर्विक्रेताओं की ओर मुड़ना पड़ा।

2) प्रारंभिक स्तर पर दोनों सर्वरों का सेटअप पूरी तरह समान था। सर्वर तक पहुंच प्राप्त करने के बाद, ओएस को अपडेट करने के लिए पूरा दिन खर्च किया गया था। इसके बाद इसे हाइपर-वी स्थापित किया गया था।
तुरंत, CentOS पर एक वर्चुअल मशीन बनाई गई, जो एक राउटर बन गई: यह वह थी, जिसके पास "सफेद" आईपी था। अन्य सभी मशीनें (मेजबान प्रणाली सहित) ग्रे पतों पर काम करती थीं।
आईपी ​​के साथ इस फोकस को करने के लिए, स्थायी रूप से जुड़ा आईपी-केवीएम काम में आया। इस स्थिति में, प्रत्येक सर्वर पर अंतर्निहित IPMI और iLo।
रूटर पर एक ओपन वीपीएन सर्वर उठाया गया था, केवल यह "बाहर" सुलभ था। अन्य सभी बंदरगाहों को बंद कर दिया गया था।
साथ ही, NAT और प्रॉक्सी सर्वर को राउटर पर उठाया गया था।

3) सभी उपलब्ध मेमोरी के लिए पहले सर्वर पर, विंडोज 2008 स्टैंडर्ड के साथ एक वर्चुअल मशीन बनाई गई, जो हमारा नया ऑफिस सर्वर बन गया।
टर्मिनल में 10 लोगों के एक साथ काम के लिए 7 जीबी - आरामदायक स्थितियों से अधिक। इंटरनेट केवल एक प्रॉक्सी के माध्यम से कार्यालय सर्वर उपयोगकर्ताओं के लिए सुलभ है।
Dr.Web काम करता है, लाइसेंस जिसके लिए हमें नेटवर्क से सदस्यता मिली है, जिससे हमारा कार्यालय जुड़ा हुआ है।
ऑफिस सॉफ्टवेयर का मानक सेट: एमएस ऑफिस, एक्रोबैट रीडर, पीडीएफ क्रिएटर, विनर, इंफ्रा व्यू, कीपास, क्रोम, फायरफॉक्स।
ताकि उपयोगकर्ताओं को भ्रम न हो, सभी को स्टार्टअप के लिए एक Bginfo फाइल संलग्न करना था, जो डेस्कटॉप का रंग बदलता है और उस पर लिखता है कि यह किस प्रकार का सर्वर है।

4) दूसरे सर्वर पर, सब कुछ थोड़ा और दिलचस्प है।
होस्ट सर्वर पर विंडोज 2008 एंटरप्राइज है, जो आपको मुफ्त में विंडोज 2008 स्टैंडर्ड के साथ 4 वर्चुअल मशीन स्थापित करने की अनुमति देता है।
इस प्रकार, यह वास्तव में, एकाउंटेंट के लिए एक सर्वर है: चार आभासी मशीनें यहां काम करती हैं - सीआरएम / बिलिंग, 1 सी 8 (हम इसे स्विच करते हैं), 1 सी 7 (हम इसके साथ काम करते हैं), और क्लाइंट-बैंक।
सभी चार सर्वर एक दूसरे से अलग हैं: वे अलग-अलग वर्चुअल हाइपर-वी नेटवर्क में स्थित हैं जो एक दूसरे को नहीं देख सकते हैं।
ऐसा इसलिए किया जाता है ताकि ऐसी स्थिति में जब मशीनों में से कोई एक संक्रमण उठाता है, तो संक्रमण उससे आगे नहीं फैलता है।
उसी मशीनों से हम MeDOC और पॉडाटकोव Zvitnit के माध्यम से कर रिपोर्ट भेजते हैं। कर कार्यालय देखता है कि रिपोर्ट हमारे कार्यालय के आईपी से आती हैं और यूरोप से नहीं, क्योंकि "अकाउंटिंग" सर्वर से ट्रैफ़िक को वीपीएन सुरंग के माध्यम से कार्यालय में भेजा जाता है।
एक कार्यालय वर्चुअल मशीन की तरह, 1C वाले सर्वरों पर, इंटरनेट प्रॉक्सी, Dr.Wbs और मानक सॉफ़्टवेयर कार्य के माध्यम से सुलभ है।
1 सी में, 7 वीं कुंजी यूएसबी-ओवर-नेटवर्क के माध्यम से काम करती है, 1 सी 8 के साथ हम सॉफ्टवेयर कुंजी का उपयोग करते हैं।
क्लाइंट-बैंक सर्वर पर, इंटरनेट डिस्कनेक्ट हो गया है: एक्सेस केवल बैंकों के सर्वरों तक है। बैंक हमारे कार्यालय का आईपी भी देखता है न कि वास्तविक आईपी सर्वर।

5) ओपन वीपीएन सर्वर (दोनों में से किसी एक) पर प्राधिकरण के बाद ये सभी सर्वर रिमोट डेस्कटॉप (आरडीपी) के माध्यम से सुलभ हैं।
और मेरे व्यामोह का एक और फल: जब एक ओपन वीपीएन सर्वर से कनेक्ट होता है, तो आपके नेटवर्क पर एक भी सर्वर को देखना असंभव है।
RDP द्वारा, सर्वरों को केवल एक गैर-मानक पोर्ट के माध्यम से एक्सेस किया जा सकता है, जो संबंधित वर्चुअल मशीन के RDP पोर्ट के लिए "अग्रेषित" (DNAT) है।

6) कार्यालय में हमारे पास वाई-फाई राउटर डी लिंक डीआईआर -320 है। हमने इसे वापस कर दिया, और फिर इस पर OpenVPN क्लाइंट को कॉन्फ़िगर किया।
DIR-320 में एक USB प्रिंटर शामिल है, जिसे सभी वर्चुअल मशीन सुरंग के माध्यम से प्रिंट कर सकते हैं।
कार्यालय कर्मचारी अपने लैपटॉप पर कुछ भी बदले बिना काम कर सकते हैं।
जो कर्मचारी दूरस्थ रूप से काम करना चाहते हैं, उन्हें ओपन वीपीएन कुंजी और निम्नलिखित निर्देश दिए गए थे: मैकओएस / विंडोज पर सुरंग को कैसे कॉन्फ़िगर करें, दूरस्थ डेस्कटॉप तक कैसे पहुंचें, कार्यालय प्रिंटर से कैसे प्रिंट करें, होम प्रिंटर कैसे प्रिंट करें, और इस तरह।

7) सबसे महत्वपूर्ण बात बैकअप है।
चूंकि होस्ट सिस्टम पर हाइपर-वी के अलावा कुछ भी नहीं है, इसलिए हम उनका समर्थन नहीं कर रहे हैं।
शुक्रवार की दोपहर को, सभी कर्मचारियों को एक समाचार पत्र (Google कैलेंडर से ईवेंट रिमाइंडर) प्राप्त होता है, जिसमें उन्हें सभी अनुप्रयोगों को बंद करने और सभी दस्तावेजों को बचाने के लिए नहीं भूलना चाहिए।
शुक्रवार से शनिवार की रात को, पावर शेल स्क्रिप्ट सभी वर्चुअल मशीनों को बंद कर देती है, उनकी वीएचडी छवियों को एक अलग फ़ोल्डर में कॉपी करती है, और जहां से यह वीपीएन सुरंग + के माध्यम से बैकअप सर्वर में यूक्रेन में मेरे सर्वर पर कॉपी करती है।
लेकिन यह केवल आधी लड़ाई है।
हर दिन, सभी आभासी मशीनों पर, एक स्क्रिप्ट लॉन्च की जाती है जो दिन के दौरान परिवर्तित होने वाले डेटा को संग्रहीत करती है; और हर हफ्ते यह सभी उपयोगकर्ता डेटा को संग्रहीत करता है (वास्तव में सब कुछ - दस्तावेजों से 1 सी डेटाबेस तक)।
संग्रह इस निर्देश पर आधारित है: habrahabr.ru/blogs/personal/82185 , लेकिन हम अभिलेखों को पासवर्ड से सुरक्षित, बहु-मात्रा और पुनर्प्राप्ति के लिए जानकारी के अलावा बनाते हैं। अभिलेख ड्रॉपबॉक्स और Google ड्राइव प्रीमियम खातों में संग्रहीत किए जाते हैं और इन सेवाओं के माध्यम से वे दोनों सर्वर (एक लैपटॉप पर निदेशक) को प्राप्त करते हैं।

अंत में हमारे पास क्या है:
"अनुरोध पर, मैं किसी भी दिन किसी भी दस्तावेज़ को पुनर्स्थापित कर सकता हूं।"
- सैकड़ों यादृच्छिक वर्णों के पासवर्ड के साथ सभी अभिलेखागार। यहां तक ​​कि अगर ड्रॉपबॉक्स किसी को अपनी सभी फाइलें फिर से दिखाता है, तो मेरा संग्रह खोलना बेहद मुश्किल होगा।
- किसी एक डीसी के साथ किसी भी बल के साथ, मैं एक घंटे से भी कम समय में, सर्वर की एक प्रति एक सप्ताह पहले किसी दूसरे देश में सर्वर पर लॉन्च कर सकता हूं + अभिलेखागार से परिवर्तन रोल कर सकता हूं।

वर्णित सब कुछ हमारे साथ लगभग एक साल से काम कर रहा है। कोई विशेष शिकायत नहीं है, सिवाय इसके कि चार सर्वर पर सॉफ्टवेयर को अपडेट करने में चार गुना ज्यादा समय लगता है :)।
मैंने बैकअप अभिलेखागार से डेटा को कुछ समय की मांग पर बहाल किया - यह एक घड़ी की तरह काम करता है।
परीक्षण के लिए, इसने कई बार डीसी शटडाउन का अनुकरण किया: इसने सभी सर्वरों में से एक सर्वर पर बैकअप लिया। सब कुछ काम करता है, एक सॉफ्टवेयर कुंजी के साथ 1 सी 8 को छोड़कर नए सर्वर पर पूरी तरह से समान कॉन्फ़िगरेशन बनाना महत्वपूर्ण है।
एक बार एक लैपटॉप "लेखाकार" बंद हो गया, - काम आधे घंटे में बहाल हो गया, बस एक नया जारी करने और सर्वर से कनेक्ट करने के लिए शॉर्टकट सेट करना।
राउटर्स के अपग्रेड के कारण आधे घंटे के लिए कई बार डेटा सेंटर अनुपलब्ध थे, लेकिन काम के घंटों के दौरान ऐसा कभी नहीं हुआ।
इसके अलावा, एक बार नीदरलैंड में डीसी पर हमला हुआ था: काम के घंटों के दौरान लगभग एक घंटे के लिए सब कुछ "पिछड़ गया"।
सैद्धांतिक रूप से, एन्क्रिप्टेड FS को जोड़ना और विभिन्न महाद्वीपों में सर्वर वितरित करना संभव होगा, लेकिन हमारे मामले में मुझे इसमें कोई मतलब नहीं दिखता है।


मुझे उम्मीद है कि यह जानकारी दिलचस्प थी। मुझे खुशी होगी अगर यह किसी के लिए उपयोगी है।
यदि आप इस कॉन्फ़िगरेशन को दोहराने का निर्णय लेते हैं, तो पूछने में संकोच न करें: मैं ख़ुशी से सलाह के साथ मदद करूंगा और किसी भी अस्पष्ट विवरण का खुलासा करूंगा।