Open Source statt Microsoft So können Unternehmen Linux-Server günstig und sicher aufsetzen

Anbieter zum Thema

Cicero-Point

WatchGuard Technologies GmbH

Zadara Ltd.

XOPERO SOFTWARE S.A.

Kleine Unternehmen müssen auf ihre Kosten achten. Server, Verzeichnisdienste, Passwortspeicher, Dokumentation, Sicherheit und mehr spielen dabei eine Rolle. Um teure Investitionen zu reduzieren, können Open-Source-Plattformen wie Linux ein Lösungsansatz sein.

Die Kunden des Systemhauses Cicero-Point, das sich auf Netzwerke und Netzwerksicherheit spezialisiert hat, sind klein. Die meisten haben kaum mehr als 20 Mitarbeitende, maximal 100 bis 150. Daher sind hier eher kostengünstige Lösungen – und somit auch der Open-Source-Ansatz – gefragt. Gerade zum Support-Ende von Windows 10 bietet sich ein Linux-Server als Alternative an.

Support-Ende von Windows 10

Upgrade auf Windows 11 wird nötig, das freut nicht alle

Als Standard für Open-Source-Anwendungen können sowohl eine zentrale Datenhaltung als auch eine Benutzer- / Gruppenverwaltung bezeichnet werden. Interessanter wird es dann schon, wenn es um VPN, firmeneigene Cloudspeicher, Passwort-Server oder zentrale Datensicherungen geht. Netzwerkdokumentation, Wissensabbildung, Monitoring, Schutz vor Übergriffen, Softwaredistribution oder andere server-basierende Automatisierungen – die Liste sinniger Server-Dienste kann mitunter sehr lang werden. Dazu kommen dann Ausfallsicherheit von Server-Anlagen sowie eine gewisse Sicherheit im Bereich Patchmanagement, weswegen man heute recht schnell im Bereich Server-Virtualisierung ist. Folgend wird deswegen von der physikalischen Basis her an die Anforderungen für Open Source herangehen.

Virtualisierung

Die Virtualisierung von Servern bringt Unternehmen mehr Flexibilität, Skalierbarkeit und Ausfallsicherheit. Wenn mehr als vier bis sechs Server eingesetzt werden, macht es durchaus Sinn, über eine sichere Virtualisierung nachzudenken. Um dies kostengünstig und gleichzeitig skalierbar zu realisieren, setzt Cicero-Point auf Proxmox in der Community-Version, eine Open-Source-Lösung, die auf Debian Linux basiert und KVM (Kernel-based Virtual Machine) als Hypervisor nutzt.

Mit Proxmox können Unternehmen klein starten, indem sie zunächst einen einzelnen Server mit mehreren virtualisierten Instanzen betreiben. Bleibt es bei einem Server, kann dieser auch lokalen Speicher bereitstellen, um Workloads effizient zu verwalten. Erweiterungen sind jederzeit möglich, da sich die Plattform zu einem Hochverfügbarkeits-Cluster ausbauen lässt.

Neben seiner lokalen Produktionsstätte in Wien basiert Proxmox auf den Open-Source-Technologien Debian und KVM, die als Standardprodukte kostenfrei verfügbar sind. Diese zeichnen sich vor allem durch ihre Sicherheit und Zuverlässigkeit aus:

• Debian ist eines der ältesten und stabilsten Linux-Betriebssysteme. Es wird kontinuierlich von einer großen Open-Source-Community und Sicherheitsexperten gepflegt, wobei regelmäßige Sicherheitsupdates und Langzeit-Support dafür sorgen, dass Schwachstellen schnell geschlossen werden. Zudem bietet Debian umfangreiche Paketverwaltungssysteme, die es Administratoren ermöglichen, Sicherheitsrichtlinien gezielt durchzusetzen und nur vertrauenswürdige Softwarequellen zu nutzen.

• KVM ist direkt in den Linux-Kernel integriert, was bedeutet, dass es von den gleichen Sicherheitsmechanismen profitiert wie das zugrunde liegende Betriebssystem. Durch regelmäßige Updates aus der Linux-Community wird KVM kontinuierlich weiterentwickelt und auf neue Sicherheitsstandards angepasst. Zudem erlaubt die Kernel-based Virtual Machine eine strikte Isolation der virtuellen Maschinen, wodurch Schwachstellen in einer VM nicht auf andere Instanzen oder den Host übergreifen können.

Unternehmen, die kontinuierliche Funktions- und Sicherheitsupdates wünschen, können eine Subscription für 100 Euro pro Jahr und Prozessor erwerben. Zusätzlich bietet Proxmox Backup-Tools, Ceph-Storage-Fähigkeiten und Integrationen mit Automatisierungslösungen wie Ansible oder Netbox. Ein weiterer Vorteil: Durch den Einsatz von refurbished Servern mit Debian lassen sich die Kosten für die IT-Infrastruktur weiter reduzieren. Proxmox ist damit eine leistungsstarke und kosteneffiziente Alternative zu kommerziellen Virtualisierungsplattformen.

Windows 10 Support-Ende

Alles was Sie über das Ende von Windows 10 wissen müssen

Sicherheit

Auf Proxmox können weitere Server installiert werden, was Unternehmen die volle Kontrolle über ihre Daten ermöglicht. Der Ansatz einer eigenen Server-Infrastruktur mit Open-Source-Technologien bietet nicht nur Unabhängigkeit von proprietären Lösungen, sondern auch hohe Sicherheitsstandards. Besonders Open-Source-Firewalls wie OPNsense und pfSense spielen eine zentrale Rolle bei der Absicherung solcher Infrastrukturen. Diese Lösungen bieten einen leistungsfähigen Schutz, ohne laufende Lizenzkosten zu verursachen. Dank modularer Erweiterungen lassen sie sich mit VPN-Servern (WireGuard, OpenVPN, IPsec), Proxy-Servern (Squid, NGINX) und Intrusion-Detection-Systemen (Suricata, Snort) kombinieren, um umfassende Sicherheitsmechanismen bereitzustellen. Netzwerksegmentierung ist dabei eine essenzielle Maßnahme, um die Verbreitung von Malware zu verhindern und isolierte Netzwerkbereiche zu schaffen.

Eine wichtige Funktion einer Open-Source-Firewall ist der High Availability Proxy, der es ermöglicht, Webseiten sicher nach außen freizugeben und Anfragen von Nutzern an die richtigen internen Server weiterzuleiten. Eine bewährte Lösung ist NGINX, das nicht nur als Webserver, sondern auch als Reverse Proxy, Load Balancer und Web Application Firewall (WAF) fungieren kann. Die Absicherung von Webdiensten lässt sich zusätzlich durch ACME-Zertifikate (Let's Encrypt) erhöhen, die eine automatisierte Verwaltung und Verlängerung von SSL/TLS-Zertifikaten ermöglichen.

Ein weiteres zentrales Sicherheitselement ist die Automatisierung durch Ansible, mit der regelmäßige Sicherheitsupdates und Konfigurationsrichtlinien zentral ausgerollt werden. Dies reduziert manuelle Fehlerquellen und stellt sicher, dass alle Server stets den aktuellen Sicherheitsstandards entsprechen. Zudem können Unternehmen mit Zero-Trust-Ansätzen den Zugriff auf ihre Systeme noch weiter absichern. Für zusätzlichen Datenschutz und Werbeblocker-Funktionalität kann AdGuard als DNS-Server eingesetzt werden. Dies ermöglicht nicht nur eine effiziente Filterung von Werbung und Trackern, sondern erhöht gleichzeitig die Sicherheit durch die Blockierung bekannter schädlicher Domains.

Speicherung

Weiter zu den Speicherlösungen. NAS-Systeme (Network Attached Storage) gibt es einige von diversen Herstellern. Allen ist jedoch gemein, dass eine eigene Konfiguration des NAS-Systems nur soweit möglich ist, wie es der Hersteller zulässt. Weiter wird die Hardware vorgegeben und auch mehr Leistung durch zum Beispiel ZFS-Systeme (Zettabyte File System), mehr Arbeitsspeicher oder mehr Prozessorleistung ist bei den Systemen kommerzieller Hersteller nur bedingt möglich. Dort können Nutzer den Speicher nur bis zu einem gewissen Punkt nachrüsten, Prozessoren sind fix und können gar nicht verändert werden. Hat man eine eigene Server-Plattform, wie FreeBSD kann man zum Beispiel CPUs verschiedener Leistungsklassen einbauen. Auch der Arbeitsspeicher ist deutlich höher skalierbar. Will man also Server-Systeme skalierbar halten, muss man zu Open-Source-Storage-Lösungen wie TrueNAS Core (ehemals FreeNAS) oder OpenMediaVault greifen.

Neben der Flexibilität in der Hardware-Anpassung bieten Open-Source-Speichersysteme auch bessere Sicherheitskontrollen. Während kommerzielle NAS-Systeme häufig auf proprietäre Software und festgelegte Sicherheitsmechanismen setzen, ermöglichen Open-Source-Lösungen eine vollständige Kontrolle über Verschlüsselung, Zugriffskontrollen und Sicherheitsupdates. Dies reduziert die Gefahr von unentdeckten Schwachstellen oder versteckten Backdoors.

Eine weitere Speicherlösung die zunehmend an Bedeutung gewinnt sind Cloudspeicher. Will ein Unternehmen die Kontrolle über die eigenen Daten behalten, bleiben nur Lösungsansätze wie die Next- oder ownCloud. Zum einen bieten diese Plattformen direkte Zugriffe über das Internet. Damit ist zum anderen der Benutzer vom internen System getrennt. Damit ist trotz direktem Zugriff die Sicherheit gegeben, dass bei einem Übergriff auf den Client-Rechner des Mitarbeiters nicht das gesamte Unternehmen kompromittiert ist. Kombiniert man nun die beiden Lösungen TrueNAS und ownCloud ist es möglich beispielsweise mit einem Shell-Script Daten zwischen den beiden Plattformen auszutauschen. Sicher und dennoch flexibel – das ist sonst nur mit sehr kostenintensiven Plattformen möglich.

Ein weiteres Beispiel sind Passwort-Server-Lösungen. Fast jede kommerzielle Plattform verursacht dauerhafte Kosten. Außerdem gab es in den vergangenen Jahren immer wieder erfolgreiche Übergriffe auf unterschiedliche Anbieter. Deswegen ist es an der Stelle oft der Wunsch von Kunden diese Informationen in den eigenen Händen zu halten und somit auf eigenen Servern zu verwalten. Möglich ist das beispielsweise mit der Plattform Vaultwarden, die den Bitwarden-Server-Dienst in einer Open-Source Lösung nachstellt.

Man könnte die Liste noch beliebig erweitern, eines ist all diesen Ansätzen gemein: Sie sind kostengünstig realisierbar, somit auch für kleine Unternehmen interessant, bei höheren Anforderungen schnell in professionelle Enterprise-Umgebungen zu überführen und somit sehr stark skalierbar. Selbst eine Bedarfsanalyse ist damit recht einfach machbar, denn ein System ist meist in weniger als einem Tag installiert und so schnell zum Ausprobieren verfügbar, ohne große Kosten dabei zu generieren.

Eset warnt vor „Security-Fiasko“

Millionen Windows-PCs in Deutschland benötigen Update

Vorteile von macOS und Linux zu Windows

Windows ist ein weit verbreitetes Betriebssystem, welches kompatibel zu vielen Herstellern sein muss. Daraus resultiert, dass das System allein, weil es weit verbreitet ist, sehr oft angegriffen wird. Das wird noch durch Schwachstellen von Anwendungssoftware, die auf dem System läuft, potenziert. Somit ist Windows ein System, welches für sich selbst gut geschützt werden muss.

Bei Linux oder macOS sieht das anders aus. Zum einen ist Linux kein Standard-System, wenn es um Desktop-Rechner geht. Das System wird eher im Server-Bereich eingesetzt und diese Systeme werden alleine schon, weil sie zentrale Dienste anbieten, sehr viel mehr geschützt. In dem Bereich wird auch nur das installiert was wirklich gebraucht wird und somit werden die Angriffsparameter deutlich minimiert. Dasselbe gilt dann für Desktop-Systeme, denn in der Regel werden derartige Systeme von Fachleuten eingesetzt. Sie arbeiten entweder in Programmierumgebungen mit Container-Systemen wie Docker oder mit sehr gut abgeschirmten Arbeitsgeräten auf denen Analysetools oder Datenbanken laufen. In der Regel werden derartige Rechner sogar überwacht, da der Benutzer genau wissen will, was auf seinem Gerät passiert.

Apple-Benutzer haben einen anderen Ansatz, weswegen hier der Hersteller über den App-Store versucht die Systeme vor Übergriffen durch Schadsoftware zu schützen. Im Unterschied zu Windows ist macOS ein Sandboxing-System. Das bedeutet, dass für jede Anwendung ein eigener Prozess gestartet wird, der mit dem Beenden des Programms auch wieder geschlossen wird. Das erschwert Übergriffe aus einer Anwendung in das System. Weiter haben aktuelle Macs sogenannte Sicherheitschips. Zusammen mit zertifizierter Software wird so das Ausführen von Software ohne ein gültiges Zertifikat erschwert. Gerade für Laien entsteht dabei ein Mehr an Sicherheit im Betriebssystem.

In professionellen Umgebungen werden Rechner über Automatismen aufgesetzt. Ansible ist aktuell eine Open-Source-Plattform, mit der derartige Umgebungen installiert werden können, was für macOS, Linux und Windows möglich ist. Der Wert von Automatisierung ist, dass es sich bei der Installation immer um die gleiche Art handelt, wie Rechner aufgesetzt werden, womit eine gleichbleibende Qualität der Installation einher geht. Da damit jedoch ein gewisser Zeitaufwand verbunden ist, ist das nur etwas für Umgebungen mit mehr als 50 bis 100 Instanzen. Bedeutet: In kleineren Umgebungen wird man auf Scripting für derartige Aufgaben zurückgreifen. Hier sind Linux und macOS mit der Denke der Repositories und dem Shellscripting klar im Vorteil. Pakete und Software werden über zentrale Quellen installiert, sind somit an einer Stelle in ihrer Version abfragbar und somit auch von der Stelle aus zentral zu aktualisieren. Für Ubuntu und Debian wäre das zum Beispiel der „apt“-Befehl unter macOS ist Homebrew eine solche zentrale Instanz. Der Vorteil hier ist der Zeitgewinn. Muss man zuerst ein Programm öffnen und schauen ob Updates verfügbar sind, kann das schon zwei bis drei Minuten pro Anwendung kosten. Überprüft man vielleicht zehn Programme kann sich das auf eine halbe Stunde summieren. In der Zeit sind Updates unter Linux und macOS schon lange erledigt.

Über den Autor: Cornelius Hoffmann ist Geschäftsführer bei Cicero-Point.

(ID:50396314)