העברת רשת משרדית ל VM

[Fish72]

שלום חברים,

יש לי לקוח שהוא רואה חשבון ויש לו משרד עם כ-10 מחשבים בתצורת רשת פשוטה (שרת חלונות 10 פרו שמשרת כשרת קבצים ו SQL לתוכנות כמו חשבשבת).
בשנה הקרובה הוא שוקל לעבור למשרד קטן יותר ושהעובדים שלו ימשיכו לעבוד מרחוק ולא פיזית במשרד, כך שלא יהיה בעקרון צורך של כל תשתית המחשבים הקיימת.
רציתי לדעת בגדול מה צריך לרכוש ולהתקין ע"מ לאפשר ולהמשיך לעובדיו לעבוד מרחוק על שרת/וירטואלי שיושב בחוות שרתים או במשרד הקטן שאליו הוא יעבור. האם מדובר על שרת עם המון זכרון ואחסון ויכולות VM או שרת בתצורה אחרת ?

תודה

[yarko]

לכל אחד יש מחשב אישי, וכל אחד ניגש לשרת הבודד (שרת חלונות 10 פרו שמשרת כשרת קבצים ו SQL לתוכנות כמו חשבשבת)?

הגישה לשרת הזה היא רק מהמשרד, ומחוץ למשרד אן גישה?

[sys_admin]

שלום חברים,

יש לי לקוח שהוא רואה חשבון ויש לו משרד עם כ-10 מחשבים בתצורת רשת פשוטה (שרת חלונות 10 פרו שמשרת כשרת קבצים ו SQL לתוכנות כמו חשבשבת).
בשנה הקרובה הוא שוקל לעבור למשרד קטן יותר ושהעובדים שלו ימשיכו לעבוד מרחוק ולא פיזית במשרד, כך שלא יהיה בעקרון צורך של כל תשתית המחשבים הקיימת.
רציתי לדעת בגדול מה צריך לרכוש ולהתקין ע"מ לאפשר ולהמשיך לעובדיו לעבוד מרחוק על שרת/וירטואלי שיושב בחוות שרתים או במשרד הקטן שאליו הוא יעבור. האם מדובר על שרת עם המון זכרון ואחסון ויכולות VM או שרת בתצורה אחרת ?

תודה

...

מדובר על מצב די פשוט. ויש לך שני אפשרויות לממש את זה.
אחת, היא אם השרת ימוקם במשרד שלו, אז אתה צריך שרת פיזי שישמש כ hypervisor, שזה שרת מארח של מכונות וירטואליות. אתה יכול להשתמש לצורך זה למשל ב windows server core 2022, שיהיה לו ROLE של hyper-v SERVER או ב מערכת של esxi.
על שרת מארח זה אתה מתקין מספר מכונות וירטואליות, שאחת מהן היא שרת windows server 2022 שישמש לשירותי SQL, אפליקציות ושרת קבצים, עוד מכונה וירטואלית שתשמש כשרת windows server 2022 עם ROLE של שרת מסופים, שעליו יתחברו ועליו יעבדו מרחוק כל המשתמשים. ומה שנשאר זה עוד מכונה וירטואלית שתשמש לשרת FireWall ושרת VPN, כי הרי אתה לא חשבת שהמשתמשים יתחברו מרחוק ללא שום אבטחה ושהשרת מסופים יהיה חשוף לכל העולם. בשביל השרת ה FireWall ושרת VPN אפשר להשתמש ב pfSense או ב OPNsense, לפי העדפות שלך. חיבור זה ישמש אותך גם לתמיכה מרחוק.
חוץ מזה, אתה צריך לדאוג כמובן למערכת של גיבויים מסודרת עם ניהול של דורות גיבויים רגילה ולמכשיר UPS ONLINE, כזה שיודע גם להוריד את השרתים במקרה של הפסקת חשמל מעל הזמן שהוגדר לו.
וגם לדאוג לקו אינטרנט שיספיק לשימושים אלו ולכתובת IP קבועה. היום, אם יש זמינות של סיבים אופטיים של בזק במקום, אז אפשר אפילו להשתמש עם קו ביתי עם ערוץ עולה של 500M, זה זמין בחבילה של 5GB. אם לא זמין במקום חיבור של סיבים, אז תצטרך להזמין חיבור עסקי אמיתי, נניח 512M סימטרי, דבר שיהיה יקר בהרבה, בגלל כך כדאי להתאמץ ולהביא חיבור ביתי של סיבים, אפילו מרחוק.

אופציה שנייה, היא שאת השרתים הווירטואליים אתה מארח לא במשרד של הלקוח זה, אלה בחוות שרתים כלשהיא, למשל על השרתי וירטואליזציה של AMAZON, או של MICROSOFT או של GOOGLE או בכלל של חברה ישראלית כלשהי.
במקרה זה אתה לא צריך לרכוש את שרת פיזי, אלה משלם שכירות של המשאבי שרתים לחברות אלה. זה כמובן יוצא פי כמה וכמה יותר יקר משימוש בשרת מקומי, בתחשיב של אפילו שלוש שנים קדימה.
יש גם אפשרות שאת השרת hypervisor פיזי שאתה רוכש, אתה ממקם בחוות שרתים של המארח, רק רוב הסיכויים שזה לא המקרה שלך.
כל שאר הדברים, במקרה של אירוח של השרתים שלך אצל גורם חיצוני נשארים זהים, חוץ מכך שלא צריך יהיה גם קו אינטרנט במשרד, אם אף אחד לא יעבוד במשרד זה, או, אם בכלל לא יהיה שום משרד.

והתשובה לשאלה, של משאבים שאתה נדרש לשרת פיזי שישמש כ hypervisor. אז התשובה היה, אם להשתמש במונחים שהזכרת בשאלה, אז, כן, צריך יהיה שרת עם המון זיכרון ועם ימבה של יכולות מעבד.

למשל, אם זה היה מדובר על מערכת שלוקחים הביתה בכדי לשחק טיפה וללמוד מה זה שרת hypervisor עם שרתים וירטואליים מהשאלה שלך בתוכו, אז מספיק היה איזה מחשב שולחני ביתי עם מעבד I9 מהדור הנוכחי, עם 196GB של זיכרון DDR5 ועם שלושה כרטיסי NVME בנפח של 4TB כל אחד שיחוברו למערך RAID5 בתוכנה, אבל בגלל שאני מבין שלא מדובר על משחק או לימודים בבית, אז גם השרת הפיזי צריך להיות עם חומרה של שרת למשרד. וזה צריך להיות מעבד XEON עכשווי, זיכרון RAM בנפח של לפחות 256GB של זיכרון עם מנגנון ECC וגם מערכת אחסון בשרת זה צריכה להיות מתאימה למשימות, לאמינות ושרידות של שרת משרדי ולא למחשב ביתי. יש הרבה שרתים מוכנים של מותגים ידועים שיתאימו למשימה פשוטה זו.

[Fish72]

@yarko - כן - לשאלה הראשונה - לכל אחד יש מחשב אישי ולשאלה שניה - רוב המשתמשים יתחברו מרחוק לאחר השינוי המבוקש.

@sysadmin - תודה רבה על התשובה המפורטת.
אשקול את הפתרונות המקצועיים שהצעת. מדובר פה בעלות לא מבוטלת בהערכה גסה של מעל 50 אלף שח לפתרון ה"זול".

בנוסף אשקול את החלפת כל המחשבים למחשבים מוקטנים והשארת תצורת הרשת הקיימת והעברתה למיקום החדש.

תודה

[oferlaor]

יש לא מעט דרכים לעבוד מרחוק.

אפשר להשאיר את התשתית ושהם יתחברו עם VPN למשרד

אפשר להעביר את הכל לענן (ואז להתחבר ב-VPN לשרת בענן).

אפשר להשתמש בשירות אחסון בענן, כמו google Cloud ואז המסמכים נשמרים בענן בכלל...

[sys_admin]

יש לא מעט דרכים לעבוד מרחוק.

אפשר להשאיר את התשתית ושהם יתחברו עם VPN למשרד

אפשר להעביר את הכל לענן (ואז להתחבר ב-VPN לשרת בענן).

אפשר להשתמש בשירות אחסון בענן, כמו google Cloud ואז המסמכים נשמרים בענן בכלל...

...

אפשר לעשות באמת הרבה דברים, רק שמומלץ לעשות את הדברים המתאימים למקרה הרלוונטי. למשל במקרה זה, הדברים כמו "המסמכים נשמרים בענן בכלל" לא רלוונטיים כלל וזה מסיבה שהעובדים של הלקוח צריכים פתרון אפליקטיבי, כמו למשל חשבשבת וכו' וגם את שרת SQL בשבילו. גם "להשאיר את התשתית ושהם יתחברו עם VPN למשרד", זה גם לא יעזור יותר מדי מבלי שיש במשרד את כל מה שהסבתי בתגובה הקודמת.
וגם בכדי שאפשר יהיה: "להעביר את הכל לענן (ואז להתחבר ב-VPN לשרת בענן)" נדרש כפי שכבר הסברתי גם בתגובה הקודמת להקים את כל התשתית של המשרד על שרתי VPS ב"ענן" וזה יעלה בטווח של שנה הרבה יותר מאם מתקינים את כל המערכת על השרת hypervisor מקומי במשרד, שכולם יתחברו לשרת מסופים שיהיה בו באחת המכונות הווירטואליות.

[sys_admin]

@sysadmin - תודה רבה על התשובה המפורטת.
אשקול את הפתרונות המקצועיים שהצעת. מדובר פה בעלות לא מבוטלת בהערכה גסה של מעל 50 אלף שח לפתרון ה"זול".

בנוסף אשקול את החלפת כל המחשבים למחשבים מוקטנים והשארת תצורת הרשת הקיימת והעברתה למיקום החדש.

תודה

...

כן, לפתרון ה"זול" המחיר הכולל של הברזלים, רישיונות תוכנה ואת העבודה יהיה בטוח פי כמה יותר מ 50 אלף ש''ח. ודווקא בגלל שמדובר על לקוח שהוא רואה חשבון, אז הוא ירצה לאמץ את הפתרון הזול הזה. רק שבשביל זה צריכים להסביר לו על מה מדובר בכלל ולמה הפתרון זהו הוא הזול בין אלה שקיימים. זה בדיוק אחת המשימות של מנהל מערכות מידע, שמציג לפניו את הפרטים אלה ומאפשר להבין את כלל השיקולים הרלוונטיים מכל היבט.

אני אנסה לתת כמה דגשים. אם לקוח זה שוכר משרד שמתאים נניח לשני עובדים, לדוגמה למנהל ולמזכירה שלו, זה שכירות "טיפה" יותר זולה מהשכרת משרד שמתאים לעוד כ 10 עובדים, שבמקרה זה יעבדו מהבית. ומדובר על תשלום שכירות לא חד פעמי, אלה חודשי, וכבר אחרי נניח חצי שנה, זה מתחיל להיות יותר זול מהמחיר ההתחלתי של הקמת המערכת שמאפשרת לעובדים לעבוד מהבית. גם דברים נוספים, כמו הצטיידות למשרד של שני עובדים מול הצטיידות של משרד של עשרה עובדים או יותר, זה עוד חלק מהתחשיב. וזה הכל החל מריהוט ועד לכל הצרכים של המשרד. גם על חנייה למשרד של 10 או 12 עובדים משלמים טיפה שונה ממשרד של שני עובדים. גם התחשיב שהעובדים לא צריכים לבזבז שעות בפקקים, זה גם שיקול. גם הנושא שהעובדים יכולים לעבוד מהבית מרחוק, במצבים מיוחדים, כמו שיש לנו עכשיו למשל יותר משנה במקומות שונים בארץ, זה גם שיקול לטובת עבודה מרחוק.

בכלל פתרונות של עבודה מרחוק אני בחברות בחו''ל מתכנן כבר כמה עשרות שנים ושם גילו את היתרונות אלה עוד בשנות התשעים.
כאן לעומת זאת התחילו להבין ולהפנים את הנושא רק לפני כמה שנים בתקופת הקורונה.

אבל בשביל להטמיע פתרון כזה של עבודה מרחוק, שכבר אחר כחצי שנה של פעילות לחברה יוצא יותר זול, נדרש לתכנן אותו בצורה נכונה וגם להסביר למקבל ההחלטות של הלקוח. וכפי שכבר כתבתי, גיבוש, תחשיב והצגה של הנתונים אלה זה אחת המשימות של מנהל מערכות מידע שאני עושה בכדי שהלקוח יוכל לקבל את החלטה המושכלת, שתהיה הכי מתאימה למקרה ספציפי של העסק שלו.

[yarko]

מדובר על מצב די פשוט. ויש לך שני אפשרויות לממש את זה.
אחת, היא אם השרת ימוקם במשרד שלו, אז אתה צריך שרת פיזי שישמש כ hypervisor, שזה שרת מארח של מכונות וירטואליות. אתה יכול להשתמש לצורך זה למשל ב windows server core 2022, שיהיה לו ROLE של hyper-v SERVER או ב מערכת של esxi.
על שרת מארח זה אתה מתקין מספר מכונות וירטואליות, שאחת מהן היא שרת windows server 2022 שישמש לשירותי SQL, אפליקציות ושרת קבצים, עוד מכונה וירטואלית שתשמש כשרת windows server 2022 עם ROLE של שרת מסופים, שעליו יתחברו ועליו יעבדו מרחוק כל המשתמשים. ומה שנשאר זה עוד מכונה וירטואלית שתשמש לשרת FireWall ושרת VPN, כי הרי אתה לא חשבת שהמשתמשים יתחברו מרחוק ללא שום אבטחה ושהשרת מסופים יהיה חשוף לכל העולם. בשביל השרת ה FireWall ושרת VPN אפשר להשתמש ב pfSense או ב OPNsense, לפי העדפות שלך. חיבור זה ישמש אותך גם לתמיכה מרחוק.
חוץ מזה, אתה צריך לדאוג כמובן למערכת של גיבויים מסודרת עם ניהול של דורות גיבויים רגילה ולמכשיר UPS ONLINE, כזה שיודע גם להוריד את השרתים במקרה של הפסקת חשמל מעל הזמן שהוגדר לו.
וגם לדאוג לקו אינטרנט שיספיק לשימושים אלו ולכתובת IP קבועה. היום, אם יש זמינות של סיבים אופטיים של בזק במקום, אז אפשר אפילו להשתמש עם קו ביתי עם ערוץ עולה של 500M, זה זמין בחבילה של 5GB. אם לא זמין במקום חיבור של סיבים, אז תצטרך להזמין חיבור עסקי אמיתי, נניח 512M סימטרי, דבר שיהיה יקר בהרבה, בגלל כך כדאי להתאמץ ולהביא חיבור ביתי של סיבים, אפילו מרחוק.

אופציה שנייה, היא שאת השרתים הווירטואליים אתה מארח לא במשרד של הלקוח זה, אלה בחוות שרתים כלשהיא, למשל על השרתי וירטואליזציה של AMAZON, או של MICROSOFT או של GOOGLE או בכלל של חברה ישראלית כלשהי.
במקרה זה אתה לא צריך לרכוש את שרת פיזי, אלה משלם שכירות של המשאבי שרתים לחברות אלה. זה כמובן יוצא פי כמה וכמה יותר יקר משימוש בשרת מקומי, בתחשיב של אפילו שלוש שנים קדימה.
יש גם אפשרות שאת השרת hypervisor פיזי שאתה רוכש, אתה ממקם בחוות שרתים של המארח, רק רוב הסיכויים שזה לא המקרה שלך.
כל שאר הדברים, במקרה של אירוח של השרתים שלך אצל גורם חיצוני נשארים זהים, חוץ מכך שלא צריך יהיה גם קו אינטרנט במשרד, אם אף אחד לא יעבוד במשרד זה, או, אם בכלל לא יהיה שום משרד.

והתשובה לשאלה, של משאבים שאתה נדרש לשרת פיזי שישמש כ hypervisor. אז התשובה היה, אם להשתמש במונחים שהזכרת בשאלה, אז, כן, צריך יהיה שרת עם המון זיכרון ועם ימבה של יכולות מעבד.

למשל, אם זה היה מדובר על מערכת שלוקחים הביתה בכדי לשחק טיפה וללמוד מה זה שרת hypervisor עם שרתים וירטואליים מהשאלה שלך בתוכו, אז מספיק היה איזה מחשב שולחני ביתי עם מעבד I9 מהדור הנוכחי, עם 196GB של זיכרון DDR5 ועם שלושה כרטיסי NVME בנפח של 4TB כל אחד שיחוברו למערך RAID5 בתוכנה, אבל בגלל שאני מבין שלא מדובר על משחק או לימודים בבית, אז גם השרת הפיזי צריך להיות עם חומרה של שרת למשרד. וזה צריך להיות מעבד XEON עכשווי, זיכרון RAM בנפח של לפחות 256GB של זיכרון עם מנגנון ECC וגם מערכת אחסון בשרת זה צריכה להיות מתאימה למשימות, לאמינות ושרידות של שרת משרדי ולא למחשב ביתי. יש הרבה שרתים מוכנים של מותגים ידועים שיתאימו למשימה פשוטה זו.

...

יש לי שאלה.
אם במצב הנוכחי יש שרת שמספק את כל הצרכים, ומחשבים שמתחברים אליו בתוך אותה הרשת והכל עובד תקין.
למה לא צריך בסה״כ VPN שיכניס את אותם מחשבים לתוך הרשת הפנימית (נגיד כמו ש wireguard או tailscale עושים למשל) ולדאוג לחיבור אינטרנט עם upload מספיק גבוה שיוכל לספק את כל העובדים?

[rm1]

גם זו קונפיגורציה אפשרית (fat client) אבל תחזוקה ועדכונים של תוכנה/חומרה יהיו גהנום.
להתרוצץ בין 10 אתרים שונים (בתי העובדים) כדי לבצע התקנות ותיקונים (הרוב אפשר מרחוק אבל לא תמיד)
וגם ביצועי המערכת גישה של התוכנה לשרת SQL מרוחק מעל VPN עם השהיות תקשורת (latency) לא משהו

[Jabberwock]

פתרון אחר הוא, שהעובד יתחבר בגישה מרוחקת למחשב האישי שלו במשרד (מסוף/client) בעזרת VPN.

[sys_admin]

יש לי שאלה.
אם במצב הנוכחי יש שרת שמספק את כל הצרכים, ומחשבים שמתחברים אליו בתוך אותה הרשת והכל עובד תקין.
למה לא צריך בסה״כ VPN שיכניס את אותם מחשבים לתוך הרשת הפנימית (נגיד כמו ש wireguard או tailscale עושים למשל) ולדאוג לחיבור אינטרנט עם upload מספיק גבוה שיוכל לספק את כל העובדים?

...

בגדול את רוב התשובות המדויקות לשאלה שלך כבר קיבלת ממשתמש @rm1 ,
ומה שנשאר לי רק לחזור עלייה ולחדד אותה.
מה שאתה מציע, זה אפשרי, אבל מאוד לא הגיוני או לא סביר, גם מבחינת האמינות של המערכת, גם מבחינת הביצועים או שימוש בה, גם מבחינת ההתקנה או תחזוקה שלה בהמשך וגם מבחינת אבטחת מידע. ובגלל כל הסיבות אלה, בסיכומו של דבר גם לא יהיה כלכלי או כדאי בעליל.

ובקשר לשימוש ב wireguard או tailscale למשימה זו, כפרוטוקול וכשירות VPN, אז פרוטוקול wireguard, לא מתאים לכך, בגלל שהוא משתמש ב UDP ובחיבורי אינטרנט הביתיים שמדובר כאן, יש סיכוי גבוהה של איבודי מנות מידע, דבר שבמקרה זה יגרום לתופעות כמו זיהום של בסיס נתונים וכו'.
ושירות של tailscale, לא רק שהוא מבוסס על פרוטוקול wireguard שעליו כבר כרגע הסברתי למה הוא לא מתאים לשימוש זה, אלה גם מוסיף גם גורם חיצוני ששולט על המערכת, כזה שגם מבחינת אבטחת מידע לא מתאים לשימוש שבו מדובר על נתונים כמו למשל הנהלת חשבונות, במקרה זה. וגם מההיבט של הביצועים השירות של tailscale הוא לא צפוי כלל וכבר ראיתי לא מעט שהחיבורי VPN שמבוססים עליו משתנים מבחינת השיהוי בהם וגם מבחינת הרוחב פס, תוך כמה רגע, בשלב שהמערכת ניהול של השירות מחליטה לעבור משרת אחת לשני, מבלי שלמשתמש יש בכלל שליטה על זה.

גם פותח הדיון בשלב מוקדם יותר כבר נחשף ל"נפלאות" של השירות tailscale, כאשר ניסה ללא הועיל לפני כמה חודשים להשתמש בו לצורך צפייה ב IPTV דרכו.

כך שגם בנושא זה, אין קיצורי דרך וכל סוג של כלי או של מערכת כלשהי יכולה שלמש למקרים מתאימים ולמקרים לא מתאימים יכולה לגרום לתוהו ובוהו ארגוני.

כמו שפעם הגדירו את זה, המסמר שהוברג עם המברג מחזיק באותה המידע כמו הבורג שהכניסו אותו עם הפטיש.