Homeserver in 19er Format

[Ing-Dom]

Hallo,

wollte mal meine Arbeit der letzten Tage präsentieren und mir ggf. noch Tipps für die Weiterarbeit holen

Hardware basiert auf einem Bauvorschlag der c't 8/16, wurde aber von mir etwas abgewandelt: Liste (die SSD war noch übrig).
Das Gehäuse ist ein Guanghsing 19" 2HE IPC Gehäuse GHI-252H beige, war günstig bei Ebay zu haben.
Die SSD wurde natürlich noch ordentlich befestigt und die Kabel auch ordentlich verlegt.
Eine 4te HDD wäre noch unterzubringen, dann müsste man nur die SSD auf eine M.2 umstellen (nur 4 SATA).

Aktuell werkelt darauf ein Debian Jessie. Die SSD für / swap, boot etc.. / ist auch per luks und pre-boot Verschlüsselung gesichert.
Die 3 WD RED laufen in einem Soft-Raid 5 und sind ebenfalls verschlüsselt.

Write-Speed 180MB/s, Read 250MB/s. Also völlig ausreichend für die 80MB/s die übers Giga-Lan gehen.
Das Soft-Raid braucht einiges an CPU-Power, bei 180MB/s write ist ca. 80% CPU-Last.

Energieverbrauch aktell 35W wenn alle HDDs laufen, 18W mit den 3 HDDs im Spindown.

Was ist geplant:
1) NAS-Funktionalität mit own- oder nextcloud
2) unifi controler
3) edomi in einer vm
4) plex-server
5) Apache als SSL-Proxy, Webshell, und div. Webdienste
6) Monitoring der Home-IT per nagios o.ä.
7) USV mit Shutdown (APC)

Was aktuell noch blöd ist, dass beim Reboot das Passwort lokal eingegeben werden muss. Das hätte man durch eine Virtualisierungsschicht zwar per SSH lösen können, den Overhead wollte ich aber nicht.
Der Plan ist, ein USB oder PS/2 Keyboard mit einem Arduino zu emulieren. Dieser wird dann per UART an einen Raspi gehängt, der wiederrum über SSH die Kommando bekommt, was das emulierte Keyboard machen soll. Ggf. hänge ich auch die Power- und Reset-Leitungen mit an den Arduino.

[Ing-Dom]

reserviert

[klk]

Das Gehäuse ist ein Guanghsing 19" 2HE IPC Gehäuse GHI-252H

Kannst Du mir bitte einen Gefallen tun und die exakte Tiefe des Gehäuses ausmessen?
Laut Datenblatt sollten das 355mm sein - ich weiß aber nicht ob die Griffe vorne da mit berücksichtigt sind. Mich interessiert quasi, wie tief genau das Gehäuse in einem Rack drin steckt (also ab Montagewinkel vorne bis zum hinteren Ende).
Ich habe mich für ein relativ kompaktes 19"-Rack entschieden, da geht's um jeden Zentimeter.

Was aktuell noch blöd ist, dass beim Reboot das Passwort lokal eingegeben werden muss. Das hätte man durch eine Virtualisierungsschicht zwar per SSH lösen können, den Overhead wollte ich aber nicht.

Ich habe das anders gelöst: SSD ist unverschlüsselt (da ist auch "nur" das OS drauf), alle Daten liegen auf verschlüsseltem HDD-RAID. Beim Reboot komme ich so per SSH auf die Maschine, kann die HDD entschlüsseln und anschließend die Dienste starten.

[kir]

http://www.superstarcomputer.de/details/GHI-252.pdf

[Hubertus81]

Ich persönlich würde Daten und Steuerung trennen auch auf Hardware ebene.
Sprich ein Gerät für Storage Dinge, und Multimedia Zeugs wie Plex auf der Hardware dann bare metall oder in einer VM.
Und für edomi dann was extra.
Für Storage benutze ich OmniOS wegen dem ZFS Dateisystem da muss man sich dann auch nicht mit Software Raid rumschlagen, Stichwort Write Hole. Außerdem gibts auch Snapshots.
Beim Thema Verschlüsselung sollte man sich darüber klar werden was man genau vor wem schützen will.
Würde die Datenplatten/Pool verschlüsseln, den Schlüssel aber auf der SSD fürs OS hinterlegen, so muss man den Schlüssel nicht jedesmal manuell eingeben.
Sehe dort nämlich keinen Sinn. Verschlüsselung der Platten ist nur ein "physikalischer" Schutz. Sprich wenn einer die Platte klaut oder du sie irgendwann verkaufen willst.
Die Festplatte mit dem OS zu verschlüsseln finde ich sinnlos vorallem bei Servern wenn dort eh nur das OS drauf liegt.

[klk]

Ah, danke - das war zu naheliegend. ;-) Die Frage nach der Tiefe hat sich somit erledigt.

[Ing-Dom]

Die SSD unverschlüsselt zu lassen, war schon ein Gedanke. Man kann die Daten schon gut trennen, aber:
Man kann auch mal einen Konfiguratiosnfehler machen. Oder es werden irgendwelches Logs geschrieben oder oder oder..
Mit AES-NI "kostet" die Verschlüsselung fast nix an CPU.

Die Maße des Gehäuses wurden ja bereits gepostet.
2 Hinweise:
ich musste die eine 3.5er Bay versetzen (war mit 2 4mm Löcher bohren erledigt), weil der CPU-Lüfter im Weg war.
ein "normales" 1HE Netzteil passt zwar rein, es ist aber wohl was anderes vorgesehen. Korrekt befestigen konnte ich es nicht, da musste ich basteln.

Ich hab auch "nur" einen Netzwerkschrank (60x60), und hab ganz schön blöd gekuckt als ich ein normales 2HE Server-Gehäuse (Chenbro) gekauft hatte..

Zur Aufteilung auf HW-Ebene - ich wollte eben explizit mit einer HW alles erschlagen, a) wegen der Anschaffungskosten und b) Energiekosten.
Das edomi macht bei mir nur Visu und Komfort-Funktionen, an sich läuft das KNX ja autark..

[Hubertus81]

Also mir gings nicht um AES-IN sondern eher aus praktischen Gründen. Ich finde es einfach unpraktisch wenn ein Server nicht von alleine booten kann. Meine Datenplatten habe ich einfach nur aus dem Grund verschlüsselt, falls sie mal kaputt gehen und ich sie auf Garantie einschicken muss oder ich sie irgendwann verkaufe.
Dass jemand den ganzen Server klaut halte ich für ausgeschlossen, steht im Keller, Räume sind abschließbar etc.
Und Daten die über das Netzwerk rausgehen dafür greift das ja eh nicht sondern läuft über ACLs usw.
Wenn dir auch das wichtig ist mach den Schlüssel doch auf einen USB Stick und schließe ihn mit einem USB Kabel ans Mainboard an. Den USB Stick versteckst du dann in irgendeiner "leeren" Verteilerdose. Selbst wenn jemand den Server dann klaut dann wird er einfach das USB Kabel abziehen, sich aber nichts weiter dabei denken dass am anderen Ende der Stick mit den Keys in einer Verteilerdose versteckt ist. Oder du versteckst den Stick irgendwo im Rack. Dann würde er zumindest autonom starten können.

Manchmal "bastel" ich auch am NAS/Server. Er läuft bei mir auch bare metall. Da finde ich es nicht so gut wenn da dann ein Teil der Haustechnik mit dran hängt. Deswegen der Vorschlag es zu teilen.
Eine Telefonanlage würde ich warscheinlich auch nicht als VM lösen sondern eigene Hardware anschaffen dafür.

Und ich mag die Vorteile von ZFS einfach

Wegen dem Strom: Soviel mehr an Energie kostet es doch auch nicht. Für ne Visu brauchst du doch quasi nur ein Webserver, das schafft doch ein RPi problemlos oder nicht?

Geht dir deine Hardware mal kaputt, ist ja alles down. Und fängt man dann mit so Sachen wie redundante Netzteile an usw wird es auch preislich uninteresant.
Habe auch überlegt alles mit VMs zu lösen auf einer Hardware, mich dann aber aus den genannten Gründen doch dagegen entschieden.

[Ing-Dom]

edomi braucht leider x86 und CentOS, daher fällt viel HW raus..

Ich sags mal so.. Wenn bei dir morgens mal kleine grüne Männchen geklingelt haben und deine Bude durchsucht haben, weil irgendein dummes Arschloch meinte er müsste völlig erfundene Dinge über dich in die Welt setzen, dann hast du ein wesentlich besseres Gefühl dabei, wenn du dir sicher bist, dass zumindest deine Daten die ja die privatesten Dinge enthalten könnten, sicher sind.

Ja, wahrscheinlich hätten die den Server nicht mal als solchen erkannt. Wenn, dann hätten sie wahrscheinlich auch den USB-Stick an der USB-Verlängerung im Rack nicht gefunden. Das ist tatsächlich eine Option, die ich evtl. umsetze.. zumindest bis mal alles stabil läuft.

[Hubertus81]

Ja wenn du x86 brauchst dann ist das natürlich "doof" und dann macht ne VM schon Sinn. Würde so Sachen halt mit ARM-Architektur umsetzen nach Möglichkeit immer weil sowas ja nicht viel Strom und Leistung benötigt. Und dann ist auch "ein Gerät mehr" nicht so tragisch.
VM habe ich zum Beispiel für Plex um hier eine Trennung zu haben von meiner Storage Lösung und zum anderen weil Plex bei meinem OS nicht installierbar ist zum anderen kann ich so der VM auch auf mein Multimediarchiv ausschließlich Leserechte geben. Selbst wenn das mal rumspinnt kann es nix löschen.
Das finde ich jetzt nicht so schlimm weil die VM eh auf den Storage angewiesen ist. Das eine würde eh ohne das andere nicht nutzbar sein.
Ne Visu/HS (fürs Gebäude) ist aber anders. Die kann ja auch laufen wenn dein "Storage" down ist.
Kann aber verstehen dass nen zweiter x86 Rechner nur dafür allein auch bisschen oversized ist.
Finde zum Beispiel auch ein KNX Logikmodul nicht überflüssig nur weil man einen HS hat. So hängt dann an der Visu/HS nur Anzeige und Manuelle Usereingaben nicht aber die Logik selbst dafür dass die Rolladen zu festen Zeiten fahren (zB).
Wobei es sicherlich irgendwann dann komplexere Sachen gibt die dann nur noch über einen HS machbar sind.

[vento66]

edomi braucht leider x86 und CentOS, daher fällt viel HW raus..

Seit wann das denn? Edomi lief bis gestern nur auf 64bit Systemen.....

[eXec]

6) Monitoring der Home-IT per nagios

Schau dir ma https://mathias-kettner.de/check_mk.html an.

Links mein NAS: SuperMicro 32GB RAM; 4x4TB und FreeNAS
Rechts 2 APU1D4 mit pfSense Firewall und Askozia Telefonanlage

Server_innen.jpgFirewall-Askozia.jpg

Als nächstes noch ein Synology RS815 und 1 oder 2 weitere APU oder Nachfolger boards für edomi und checkmk (läuft momentan auf einem Rpi)

Grüße Andre

[Hubertus81]

Seit wann das denn? Edomi lief bis gestern nur auf 64bit Systemen.....

Echt jetzt? Warum geht dann ARMv8 nicht?

[ewfwd]

Seit wann das denn? Edomi lief bis gestern nur auf 64bit Systemen.....

Ich hab ihn! Den Troll!

[gaert]

Solange es ein 64bit-System ist und ein AMP-Stack verfügbar ist (Apache, mySQL, PHP) sollte EDOMI laufen - CentOS für ARM gibbet m.E. inzwischen. Ich hab's allerdings bislang nur auf x86-Systemen getestet, muss aber nix heißen.