Коллеги,
хочу задать красивый и умный вопрос (друг спрашивает).

Небольшая растущая компания (15 рабочих мест) хочет практически обнулить риски несанкционированного доступа к базам 1С8.2.

Зачем? причина проста - в период роста приходят, уходят сотрудники, кто-то из них может подумать, что неплохо бы заполучить клиентскую базу или условия соглашений.
Также, кто-то из новичков может на что-нибудь обидеться и в компанию придут милиционеры, проверить, нет ли нелегального софта. Нелегального софта нет, но базу они прихватят, и сделают ее темой для мутных переговоров)).

Всего этого не случится, если сделать сервер физически недоступным, а данные баз 1С надежно защищенными от НСД.
Уважаемый Fragster сообщает, что для этой задач наилучшим образом подойдет тонкий клиент с доступом по http.

Для этого компания арендовала физический сервер в Германии, достаточной мощности.

Она планирует организовать на этом физическом сервере ряд виртуальных серверов на базе Windows 2012 Server.
Операций 1С немного, порядка 100-200 в день, в настоящее время отлично справляется файловая версия 1С в терминале.

ВНИМАНИЕ, вопрос - какое минимальное число виртуальных серверов с какими ролями нужно организовать, если в офисе компании работают только тонкие клиенты на Linux?


Спасибо.

А не проще было реализовать это все с помощью Трукрипта? Не заморачиваясь удаленными серверами.

при чем тут вобще количество вирт серверов? 1-го хватит

Привет,
с помощью Трукрипта организовывали пару лет назад, еще на Windows Server 2003.

Есть проблемы:

1. никак не защищает от сотрудников в процессе работы, пока файлы в оперативной памяти расшифрованы
2. слабо защищает от милиционеров, которые будут знать, что данные у них на руках, хоть и зашифрованные (знаю, о чем говорю. Кроме того, нелицезированное использование технологий шифрования может быть темой для отдельного вымогательства)
3. невозможна стабильная работа серверных продуктов Microsoft с Truecrypt (перезагрузки и ошибки диска несколько раз в мес.)

Максус, привет!

Мы не понимаем, как на одном сервере (виртуальном или физическом) разместить сервисы:

1. Домен AD
2. веб-сервер
3. сервер удаленных рабочих столов

еще что-то, чего мы можем не знать....

(4) зачем AD на удалённом поднимать?
зачем терминальный сервер делать, если 1с на тонком клиенте?
на сервере там только 1с + веб, и работайте с 1с через браузер

Ага, понял.
У сотрудников в офисе вообще нет локальных рабочих столов, им нужны удаленные рабочие столы Windows для работы с почтой, документами Office, банк-клиентами.
Эти рабочие столы тоже должны быть защищены от захвата - там масса конфид.данных.

Отзывчивость веб-клиента вызывает сомнения. При быстрых операциях типа подбора товаров в многострочные документы это не рассчтраивает пользователя-оператора?

AD на удаленном для:
1. отличной настройки групповых политик (доступы к флешкам, проброс портов, запрет на запуск всех приложений, кроме прямо разрешенных..)

2. для полнофункциональной работы нескольких ВМ на одном хосте

>>банк-клиентами
без ключа железного работают уже? немного отстал от тенденций, только с ключами работал

нет, с ключами.

именно для буха и менеджера по претензиям (он фотографии со склада грузит в систему)) нужен проброс ключа, остальным запретить.

грамотно, надежно и удобно это только в AD можно сделать.

ну AD на отдельную вирт машинку, это традиция, нефиг мешать её с другими.
Терминальник мешать с сервером 1с, веб и т.д. тоже наверно не стоит.
Итого 3 получится

(0) как-то сложно
- аренда выделенного сервера
- пользователи ходят в 1С через RemoteApp
- ip сервера прятать за сервисом типа dyndns.org

+12 прямо сейчас тестил выделенный сервер за 55 евро = 30 гилевских попугаев

йети, привет.

это именно выделенный? можно ссылку?
30 попугаев - какой относительной производительности соответствует, в понятных мне словах?)))

(6) прятать клиент-банк - совсем чернуха получается, одно дело бороться со сливом коммерческой тайны, другое тырить бюджетные деньги

Максус, ну вот и ЧТД, спасибо.

Это значит, что мне не хватает одной серверной лицензии 2012 server и придется купить вторую.

Ну да ладно....)

(14) http://ru-tld.ru/
http://www.gilev.ru/tpc1cgilv/

зачем прятать клиент-банк? дело не прятать, мы интернет-магазин, какие бюджетные деньги.

У нас клиент-банки связаны с 1С, в этом дело))
кроме того, идея следить за исправностью компьютера у бухгалтера мне просто не нравится. куда проще выкинуть сломавшийся тонкий клиент и прикрутить к монитору новый)))

Спасибо за ссылки, изучу.

для 1с один сервер, где там кто тонкого клиента будет запускать - это уже другие вопросы. Если нужен терминал + АД (хотя нафига?) то еще +2, соответственно, хотя тонкий клиент и без РДП будет нормально работать прямо в линупсе. заодно и потестите, как оно , это 8.3 (на крайняк в вайне тонкий или в браузере можно)

связь "килентбанка", ЕМНИП, идет через текстовые файлики

Клиентскую базу можно получить даже если сервер в Германии, да даже если на Марсе, инсайдер с необходимыми правами доступа список всех клиентов через принт-скрин нащелкает...

(22) так ведь РЛС и права грамотно раздать можно - чтобы он "чужих" клиентов не видел

Значит, повторим - для 1С один сервер, он же веб-сервер, так?
Fragster, в файловом варианте эта штука работает?

спс заранее

(23) Ну да, РЛС, типа каждый менеджер видит только своих клиентов - это в итоге в кашмар превращается...

(0) безопасность бесполезно обсуждать без трех китов

1. Объект защиты - в данном случае понятно, защита конкретной базы от слива (а от деструктивных действий надо???)
2. Периметр защиты - тут уже вопрос, что является периметром, сервер или организация или например отдел IT
3. Стоимостью, которую злоумышленники за базу вне периметра (или выполнения деструктивных действий)

пока не понятна стоимость - не понятен уровень возможных злодеев и нельзя вообще ничего говорить о безопасности....

(24) веб сервер - да, РЛС - не стОит лучще

Ок, спасибо.

Негативные рекомендации по РЛС меняют дело, собирались этот мех-м использовать.
В конце концов, украсть контакты клиентов  - ерунда, приавльно построенной компании это урона не нанесет.
Рейтинги клиентов, торговые условия, обороты хотелось бы скрыть, конечно

ладно, решим.

а, ну да - конфигурация должна быть на управляемых формах

Да, понял. УТ у нас на УФ, вот бухгалтерия 2.0 обычная.

(28) если у Вас файловая база - то защиты нет, в том числе и тонкий через веб это весьма слабая защита.

а как у Вас будет серверная - тогда и RLS юзать можно, на серверных базах все нормально с ним...

(31) как ты утащишь базу с доступом через http? шары-то нету

ИМХО, чем меньше организация, тем больше там секретов и паранойи..

Имхо вообще один удаленный сервер (с 1с и веб), который будет выпускать базу на хттп.
Все.
Все работают через тонкий клиент и радуются

(32) где выполняется серверный код?

(35) в модуле апача. а как ты запустишь произвольный серверный код?

(36) это второй вопрос, там то же варианты есть, например в конкурсе на планшет я такую задачку написал, так ее зарубили :) ... просто для апачи существуют свои уязвимости, а для 1с свои, по этому безопасность падает в геометрической прогрессии. Например при некоторых настройках можно получить доступ к файлу базы в обход апачей (если путь будет внутри рута) и так далее....

(0) Зачем несколько виртуальных серверов? Зачем вообще виртуальные сервера?
Всё поднимаешь на одном физическом сервере в Германии: и терминальный и сервер 1С. Чтобы не светить IP ставишь Хамачи. Всё!!!
Собственно у нас так и работает. 40 пользователей.

(17) Интересно, предлагают вполне себе современные процессоры, а не старье пяти-шестилетней давности...

(33) В маленькой конторе это все просто более сконцентрировано и заметно, а в большой как бы размазано, а так столько же.

(38) хм.. может, это мысль. вы все это организовали без домена?

(4) AD на 2012 нужен только чтоб поставить терминальный сервер, после этого можно обойтись без AD по этому ИМХО достаточно:
1) Севрер 1С + MSSQL
2) Терминальный сервер

(38) стабильно через хамачи работает?
(40) А что за сервер в Германии ? Ссылку можно?

(41)нам AD нужен, чтобы иметь возможность воспользоваться групповыми политиками. более гибко и надежно настроить доступы и права способа просто нет.

Если менеджеру бояться доверить контрагентов, то такому менеджеру просто делается своя отдельная база - чтобы делал там всё, что хочет, но обмен настраивать с центральной так, чтобы в периферию ничего не попадало.
Но, проблема начинается тогда, когда одного менеджера хочет заменить другой и т.п.

Если контора - интернет-магазин, то клиентов перетянуть менеджерам нереально, а доступ к данным клиента получает каждый работник, который с ним общается - в итоге - в данном направлении смысла в защите интересов нет. Спереть могут только базу с телефонами и e-mail и сделать рассылку спама, но не факт, что кто-то на него поведётся.

Что касается финансовых операций и т.п. - менеджеры и т.п. сотрудники вообще не должны иметь доступа к базам, в которых отражается информация о работе фирмы, не связанная с обслуживанием клиентов. Для них есть только цены, по которым они продают товар, и только тот товар, который они могут продавать - тогда вопросов меньше.

(40) Да, без домена.
(42) Хамачи активно пользуемся года полтора, 100% доступность серверов хамачи. Единственно, что не всегда соединяет напрямую,а пускает трафик через свой сервер с падением скорости. Помогает выкл/вкл хамачи на клиенте

(42) http://ru.hetzner.com/ например

(46) скоро все там будут)))
я тоже уже там)