Server Linux

[ingegner_banni]

Ciao a tutti, io sono il responsabile del settore informatico di un piccolo comune del centro Italia (10000 abitanti c.a.).
Scrivo questo post perché ho l’intenzione di far utilizzare, negli uffici comunali, il maggior numero di software open source, sistema operativo compreso.
In tal modo riuscirei ad eludere molte delle spese fisse che il Comune si deve accollare per il pagamento delle varie licenze software consentendo, magari, l’utilizzo di quelle risorse per altri ambiti.
Per questi motivi è mia intenzione costituire un’intranet basata su Linux che inglobi tutta l’amministrazione comunale. A tal proposito mi occorre una tipologia di server che mi permetta (fra le tante cose) di:

- semplificare l’infrastruttura IT;
- ridurre i costi amministrativi e di manutenzione;

e che integri:

- un efficace sistema antivirus;
- funzioni di sicurezza integrata come SSL, VPN, ID, ecc.
- funzioni automatiche di gestione e monitoraggio dei sistemi.

A tal proposito mi è stato consigliato IBM SYSTEM I. Nessuno lo conosce?! Sembra che abbia questi requisiti ma vorrei sapere se qualcuno di voi ha mai lavorato con questo prodotto e, in caso affermativo, cosa ne pensate.

Grazie in anticipo a tutti. Ciao

[bluefire]

Buongiorno Ing.Banni,
credo che tutto quello che le serve può essere tranquillamente progettato in ambiente OpenSource e senza far riferimento ad architetture proprietarie.

Può usare tranquillamente una soluzione basata su normalissimi server/PC (date le dimensioni anche assemblati)

Ho fatto un lavoro simile per un comune del sud Italia di circa 30mila abitanti, ormai due anni fa e senza che mi sia stata segnalato una sola disfunzione

Ovviamente il merito è tutta dell'architettura OpenSource etc etc

Saluti

[ingegner_banni]

bluefire

Buongiorno Ing.Banni,
credo che tutto quello che le serve può essere tranquillamente progettato in ambiente OpenSource e senza far riferimento ad architetture proprietarie.

Può usare tranquillamente una soluzione basata su normalissimi server/PC (date le dimensioni anche assemblati)

Ho fatto un lavoro simile per un comune del sud Italia di circa 30mila abitanti, ormai due anni fa e senza che mi sia stata segnalato una sola disfunzione

Ovviamente il merito è tutta dell'architettura OpenSource etc etc

Saluti

Salve bluefire, la sua soluzione mi sembra interessante tuttavia il fatto che non abbia riscontrato problemi di funzionamento non rappresenta per me un motivo sufficiente per sposare la sua causa.
Infatti un sistema come ha descritto lei, anche se beneficia sicuramente dell'ambiente open source, difetta (a mio avviso) nel settore della sicurezza, cosa da non sottovalutare quando si maneggiano, talvolta, informazioni riservate e molto delicate.
Per ovviare a ciò mi interesserebbero:

- protezione dello storage, per prevenire l'accesso agli oggetti di sistema da parte di programmi "non autorizzati";
- funzionalità di rilevamento e monitoraggio delle intrusioni, come la scansione alla ricerca di porte aperte TCP/IP;
- funzionalità di auditing per rafforzare il controllo degli accessi;
- funzionalità di codifica per proteggere i dati critici.

Forse le sembrerò un pò troppo "pauroso" ma le assicuro che abbiamo avuto dei problemi di "violazione della privacy" e anche alcune intrusioni.
La ringrazio molto dei suoi consigli e rimango in attesa.
Cordiali saluti.

[bluefire]

ingegner_banni

Per ovviare a ciò mi interesserebbero:

- protezione dello storage, per prevenire l'accesso agli oggetti di sistema da parte di programmi "non autorizzati";
- funzionalità di rilevamento e monitoraggio delle intrusioni, come la scansione alla ricerca di porte aperte TCP/IP;
- funzionalità di auditing per rafforzare il controllo degli accessi;
- funzionalità di codifica per proteggere i dati critici.

Forse le sembrerò un pò troppo "pauroso" ma le assicuro che abbiamo avuto dei problemi di "violazione della privacy" e anche alcune intrusioni.
La ringrazio molto dei suoi consigli e rimango in attesa.
Cordiali saluti.

Magari tutte le persone si preoccupassero di queste cose...
Credo che troverà tutto il Forum d'accordo sul fatto che Linux ha un sistema di accessi ed autorizzazioni tale da riuscire a performare sicurezza in maniera molto spinta.

Esistono sempre in ambiente OpenSource svariati tools per monitoraggio e controllo accessi (se vuole mi informo per una lista), la codifica/crittografia dei Dati è implementata in modo "quasi nativo".

E' possibile implementare reverse-Proxy a protezione dei server applicativi/dati prevedendo piu livelli di sicurezza.

Per applicazioni "sensibili" è possibile gestirle in ambiente dedicato in modo da non condividere informazioni/risorse con le altre..

Il modo per fare tutto c'è sempre, l'importante è sapere cosa fare.

PARENTESI POLITICA:
Parecchi produttori anche seri hardenizzano soluzioni Open e le rivendono come strumenti StandAlone, non è una cosa sbagliata se vendi come valore aggiunto il knowHow..... p'arecchie volte invece si valorizzano funzionalità che sono "distribuite liberamente" ma "vendute in maniera proprietaria"
Mi scusi se approfitto del Thread per mie riflessioni....

Comunque, si liberi da tutti i dubbi che ha. Il forum è pieno di persone che sanno il fatto loro...

Saluti

[mariox79]

Salve Ing. Banni,
come già detto da Bluefire, il mondo opensource offre parecchi strumenti "sciolti" che vanno opportunamente riuniti in specifiche appliance e configurati in modo da assolvere alle funzioni da lei citate.
Vale la pena di ricordare che in ambiti delicati come le pubbliche amministrazioni o la sanità dove è particolarmente sentito il concetto di "dato sensibile", il Garante della Privacy, con il Bollettino del 1° marzo 2007 ( disponibile a quest'indirizzo http://www.garanteprivacy.it/garante/doc.jsp?ID=1387522 ) ha tracciato delle linee guida piuttosto precise che non sempre vengono rispettate, con il rischio di andare incontro a danni irreperabili come la perdita di dati o di elementi essenziali nonchè a sanzioni di natura penale ed amministrativa.
E' ovvio che chi si occupa di implementare tali soluzioni, deve conoscere in maniera approfondita gli aspetti tecnici delle stesse in modo che il risultato garantisca da un lato la piena compatibilità con la normativa vigente, e dall'altro un sistema di gestione snello e semplificato per facilitare il lavoro di chi lo amministrerà.
Giusto per darle qualche dritta, come sistemi di monitoraggio c'è l'ottimo Nagios (opensource), come VPN invece è d'obbligo l'uso di IPSEC (sconsiglio l'uso di PPTP che sebbene offra la possibilità di tirare su un canale crittografato potrebbe dare problemi di tipo NAT-Traversal ) mentre per la gestione di utenti e sicurezza si potrebbe usare una configurazione di SMB ottimizzata con la compresenza di cartelle pubbliche e cartelle private (un pò come il concetto di Dominio offerto da Active Dir).
Se le interessa una soluzione completa o dettagli implementativi più precisi può contattarmi in privato.
Saluti

[maggiolone]

le dritte non finiscono mai e c'è sempre da imparare!!
basta prendere tutto quello che PENTOO mette a disposizone che c'è un bel lavoro da fare...
il punto è un altro: nella mia rete casalinga faccio io come mi pare perchè non devo rendere conto a nessuno. mi sento abbastanza sicuro delle azioni che faccio e ne prendo le dirette conseguenze: la struttura l'ho fatta io e sono azzi miei!!!! (ambienti chrootati, nmap,nessus, iptables davanti...).
tuttavia nel luogo in cui lavoro io non mi prenderei mai (a mano che lo stipendio mensile comprenda anche questa responsabilità) la briga di costruire un'architettura opensource, per il semplice motivo che se avviene malaguratamente un attacco/danneggiamento/etcetc la colpa è di colui che ha assemblato i vari tool.
con un sistema di centralizzazione proprietario tale responsabilità è coperta dal marchio !!!!


attenzione: io sono daccordo con te... ma non per agire sul posto di lavoro!

mariox79

Salve Ing. Banni,
Giusto per darle qualche dritta, come sistemi di monitoraggio c'è l'ottimo Nagios (opensource), come VPN invece è d'obbligo l'uso di IPSEC (sconsiglio l'uso di PPTP che sebbene offra la possibilità di tirare su un canale crittografato potrebbe dare problemi di tipo NAT-Traversal ) mentre per la gestione di utenti e sicurezza si potrebbe usare una configurazione di SMB ottimizzata con la compresenza di cartelle pubbliche e cartelle private (un pò come il concetto di Dominio offerto da Active Dir).
Se le interessa una soluzione completa o dettagli implementativi più precisi può contattarmi in privato.
Saluti

[mariox79]

guarda un pò qui allora...

http://www.iteam5.net/blog/2005/04/s...assa-linux.asp
http://www.lastampa.it/_web/_INTERNE...inux050517.asp
http://punto-informatico.it/p.aspx?id=1664808

Io non sono contro windows, ma ti ricordo che lo stesso windows nasce da sistemi unix-like. Active directory altro non è che un'implementazione di LDAP ad esempio, protocollo proveniente dal mondo unix.
Purtroppo in Italia esiste una fortissima lobby politica che appoggia microsoft e i suoi prodotti e che quindi spinge all'acquisto di innumerevoli licenze di prodotti microsoft nella pubblica amministrazione.

Ciao!

[bluefire]

maggiolone

per il semplice motivo che se avviene malaguratamente un attacco/danneggiamento/etcetc la colpa è di colui che ha assemblato i vari tool.

Quindi mi stai dicendo che se metto su un winServ (ma non solo win) che pago svariate migliaia di euro, poi che cavolo succede succede la colpa non è mia, è di BillGates o ki per esso??

Credo che quando fai qualcosa devi prendertene la responsabilità, o se mi spiaccico con la Ferrari a 240 dietro un TIR la colpa è di Montezemolo???

Mi dispiace ma se questo è il motivo di scegliere tra progetti adHoc sulle esigenze del cliente e apparati proprietari, non sono assolutissimamente d'accordo con te.....

[maggiolone]

forse non mi sono spiegato:
lavori in una piccola azienda ?????????
ti assicuro che in certe realtà LAVORATIVE NON SPECIALIZZATE NELL'IT, ma che tuttavia devono per necessità crescere nel settore IT, avere alle spalle un contratto di assistenza in senso lato, permette di avere il culo parato da ogni eventualiatà!!! vedila come un'assicurazione
questo è un dato di fatto: al signore del comune succede qlc e lui chiama rivenditori IBM, che addirittura hanno la responsabilità dell'accaduto.
quindi se ti spiaccichi con la ferrari qualcuno avrebbe potuto dire (fino a prova contraria) che non eri in grado di guidarla e che sarebbe stato meglio se tu avessi usato il bus, dove c'è un autista, che (in teoria) dovrebbe saper guidare meglio di te.

PENSO QUESTO SOLO IN AMBITO LAVORATIVO (dic 2007)

grazie comunque delle tue opinioni

bluefire

Quindi mi stai dicendo che se metto su un winServ (ma non solo win) che pago svariate migliaia di euro, poi che cavolo succede succede la colpa non è mia, è di BillGates o ki per esso??

Credo che quando fai qualcosa devi prendertene la responsabilità, o se mi spiaccico con la Ferrari a 240 dietro un TIR la colpa è di Montezemolo???

Mi dispiace ma se questo è il motivo di scegliere tra progetti adHoc sulle esigenze del cliente e apparati proprietari, non sono assolutissimamente d'accordo con te.....

[bluefire]

maggiolone

forse non mi sono spiegato:
lavori in una piccola azienda ?????????
ti assicuro che in certe realtà LAVORATIVE NON SPECIALIZZATE NELL'IT, ma che tuttavia devono per necessità crescere nel settore IT, avere alle spalle un contratto di assistenza in senso lato, permette di avere il culo parato da ogni eventualiatà!!! vedila come un'assicurazione
questo è un dato di fatto: al signore del comune succede qlc e lui chiama rivenditori IBM, che addirittura hanno la responsabilità dell'accaduto.
quindi se ti spiaccichi con la ferrari qualcuno avrebbe potuto dire (fino a prova contraria) che non eri in grado di guidarla e che sarebbe stato meglio se tu avessi usato il bus, dove c'è un autista, che (in teoria) dovrebbe saper guidare meglio di te.

PENSO QUESTO SOLO IN AMBITO LAVORATIVO (dic 2007)

grazie comunque delle tue opinioni

Adesso si, ti quoto in pieno....

Se metti sul tavolo queste cose ha senso quello che dici, avevo capito che siccome metti sul banco una soluzione proprietaria poi scarichi la responsabilità su chi ti vende i server.

Ovviamente il mio suggerimento riguardava la Tecnologia, la mia tesi è:

- Non è necessario spendere un sacco di soldi per avere una buona soluzione
- Anche per le soluzioni Open il Fai-da-te è pericoloso (anche se metti un mega serverone proprietario ma non lo sai usare)
- Affidarsi a professionisti che vendano KnowHow e non HW di Marca

PS: sulla Ferrari hai ragione, ma la mia 106 fa a stento 130 quindi non corro rischi

[ingegner_banni]

Grazie di cuore a tutti i partecipanti alla discussione che è stata per me molto utile e interessante. Tutti gli interventi sono stati molto intelligenti e proficui per farmi un'idea più precisa di come muovermi. Penso che mi orienterò verso l'acquisto di IBM System I, poi vi dirò (avendolo sotto mano) le mie considerazioni in merito.

Grazie ancora a tutti.

Saluti.