Infrastruttura VMware Milano Hacking Team S.r.l. Via della Moscova, 13 20121 MILANO (MI) - Italy http://www.hackingteam.it info@hackingteam.it Tel. +39.02.29060603 Fax +39.02.63118946 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 1 di 16
STORIA DEL DOCUMENTO Versione Data Modifiche Effettuate 1.0 Ottobre 2011 Prima emissione INFORMAZIONI Data di Emissione Ottobre 2011 Versione 1.0 Tipologia Documento Documento tecnico Numero di Protocollo Numero Pagine 16 Numero Allegati Descrizione Allegati 1 2 Redatto da Costantino Imbrauglio Approvato da 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 2 di 16
INDICE 1 Introduzione... 4 2 Architettura... 4 2.1 Interfacce di rete, routing e configurazione switch... 5 2.2 Datastore... 8 2.3 SAN (Storage Area Network) primaria... 9 2.4 SAN (Storage Area Network) di backup... 9 3 Architettura logica... 10 4 Accesso e gestione dell infrastruttura di virtualizzazione... 11 4.1 Accesso e gestione dell infrastruttura Vmware... 11 4.2 Accesso e gestione della SAN primaria... 15 4.3 Accesso e gestione della SAN di backup... 16 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 3 di 16
1 Introduzione HT srl ha deciso di adottare la tecnologia di virtualizzazione per consolidare la propria infrastruttura IT. In particolare ha scelto di utilizzare la suite VMware vsphere 4 Essentials PLUS. 1 Obbiettivo del presente documento è illustrare l architettura della nuova infrastruttura di visrtualizzazione. 2 Architettura L infrastruttura di virtualizzazione si compone di tre server fisici e due unità SAN (Storage Area Network): trattasi di un unità Equallogic PS4000 ed un unità Dell MD3000i. La tabella seguente illustra le caratteristiche dei server. ht-vmprod1 ht-vmtest1 ht-vmprod2 Marca Dell Dell Dell Modello PowerEdge R410 PowerEdge 2950 PowerEdge R710 Processori 2 x E5620 Intel Xeon @ 2.4 Ghz 2 x E5420 Intel Xeon @ 2.5 Ghz 2 x E5520 Intel Xeon @ 2.27 Ghz Core(s) 8 8 8 RAM 64 Gb 20 Gb 72 Gb NIC(s) 6 5 8 Indirizzo IP primario 192.168.200.53 192.168.200.101 192.168.100.55 hostname ht-vmprod1 ht-vmtest1 ht-vmprod2 FQDN ht-vmprod1.hackingteam.it ht-vmtest1.hackingteam.it ht-vmprod2.hackingteam.it EqlPS4000-Offensiva - 2.0 Tb EqlPS4000-Difensiva - 1.5 Tb EqlPS4000-Test - 1.5 Tb Datastore DellMD3000i-Backup-Offensiva-1-1.02 Tb DellMD3000i-Backup-Difensiva-1-1.06 Tb 410-internal - 460 Gb 2950-internal - 131 Gb 710-internal big - 540.25 Gb 710-internal small - 131 Gb Indirizzo IP rete 1 (vmnic6) (vmnic4) (vmnic6) Indirizzo IP rete 100 (vmnic4) (vmnic1) (vmnic4) Indirizzo IP rete 172 (vmnic7) (vmnic5) (vmnic7) Indirizzo IP rete 200 192.168.200.53 (vmnic5) 192.168.200.101 (vmnic0) 192.168.200.59 (vmnic5) Indirizzo IP iscsi 192.168.130.2 (vmnic1) 192.168.130.1 (vmnic2) 192.168.130.3 (vmnic1) Indirizzo IP vmotion 192.168.135.2 (vmnic0) 192.168.135.1 (vmnic3) 192.168.135.3 (vmnic0) 1 http://www.vmware.com/files/pdf/vmware-vsphere-4-essentials-editions-ds-en.pdf 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 4 di 16
2.1 Interfacce di rete, routing e configurazione switch I tre server fisici sono configurati per instradare direttamente sulle seguenti reti: Rete 192.168.100.0 (i server ht-vmprod1, ht-vmprod2 e ht-vmtest1 sono configurati con un virtual switch associato a una delle NIC, ma non hanno assegnato indirizzi IP su questa rete) Rete 192.168.200.0 (tutti e 3 i server ESXi sono configurati con un indirizzo IP su questa rete che è anche la rete di management) Rete 192.168.130.0 (Rete iscsi) Rete 192.168.135.0 (Rete vmotion) Rete 192.168.1.0 (tutti i server sono configurati con un virtual switch associato a una delle NIC, ma non hanno assegnato indirizzi IP su questa rete) Rete 172.20.20.0 (tutti i server sono configurati con un virtual switch associato a una delle NIC, ma non hanno assegnato indirizzi IP su questa rete) La figura seguente illustra l assegnazione delle porte sul server ht-vmprod1 (R410). 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 5 di 16
La figura seguente illustra l assegnazione delle porte sul server ht-vmprod2 (R710). La figura seguente illustra l assegnazione delle porte sul server ht-vmtest1 (2950). 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 6 di 16
Per quanto riguarda la configurazione degli switch, sono state definite opportune VLAN sui Dell PowerConnect 2548 e 2524. La tabella seguente illustra l allocazione delle porte. Allocazione porte switch Dell PowerConnect 5424 Porta Descrizione 4 Dell MD3000i slot 1 sx 16 Dell MD3000i slot 2 dx 2 Dell 2950 (ht- vmtest1 iscsi) 20 Dell 2950 (ht- vmtest1 vmotion) 1 Dell R410 (ht- vmprod1 iscsi) 19 Dell R410 (ht- vmprod1 vmotion) 3 Dell R710 (ht- vmprod2 iscsi) 21 Dell R710 (ht- vmprod2 vmotion) 14 Equallogic PS4000 eth1 active 15 Equallogic PS4000 eth1 failover 5 Equallogic PS4000 eth0 active 6 Equallogic PS4000 eth0 failover Dell PowerConnect 5448 45 Equallogic PS4000 mgmt failover dx 46 Equallogic PS4000 mgmt failover sx 47 Dell MD3000i mgmt sx 48 Dell MD3000i mgmt dx N.B. Tutte le interfacce ethernet (server, switch e SAN) impiegate sulle reti iscsi (192.168.130.0) e vmotion (192.168.135.0) sono configurate per i jumbo frames (MTU 9000). 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 7 di 16
2.2 Datastore Tutti e tre i server fisici accedono a due datastore definiti sulla SAN Equallogic PS4000: EqlPS4000-Offensiva Datastore dedicato alla business unit offensiva (questo datastore è destinato ad ospitare le macchine virtuali di questa business unit) EqlPS4000-Difensiva Datastore dedicato ai restanti servizi aziendali EqlPS4000-Test Datastore dedicato alle macchine virtuali per test e demo I datastore definiti sulla SAN Equallogic PS4000 sono realizzati utilizzando RAID 50 e sono pensati per la memorizzazione di dati e servizi critici. I tre i server fisici accedono inoltre a due datastore definiti sulla SAN Dell MD3000i: DellMD3000i-Backup-Offensiva-1 Datastore dedicato al backup delle macchine virtuali della business unit offensiva DellMD3000i-Backup-Difensiva-1 Datastore dedicato al backup delle restanti macchine virtuali aziendali I datastore definiti sulla SAN Dell MD3000i sono realizzati utilizzando RAID 5. Infine ciascun server dispone di uno o più dischi interni che sono stati configurati in stripe (RAID 0) per realizzare volumi utilizzabili per memorizzare dati non critici; in particolare: 410-internal 2950-internal 710-internal big 710-internal small 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 8 di 16
2.3 SAN (Storage Area Network) primaria La tabella seguente illustra le caratteristiche della SAN primaria (Equallogic PS4000). Equallogic PS4000 Slot NIC(s) HD(s) Indirizzi IP 16 6 16 x 931.51 Gb SATA 7,200 rpm 192.168.130.103 (iscsi) 192.168.130.104 (iscsi) 192.168.200.12 (mgmt.) 2.4 SAN (Storage Area Network) di backup La tabella seguente illustra le caratteristiche della SAN di backup (Dell MD3000i). Dell MD300i Slot NIC(s) HD(s) Indirizzi IP 14 4 8 x 136.73 Gb + 5 x 419.87 Gb SAS 15 rpm 192.168.130.101 (iscsi) 192.168.130.102 (iscsi) 192.168.200.10 (mgmt.) 192.168.200.11 (mgmt.) 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 9 di 16
3 Architettura logica L architettura logica dell infrastruttura di virtualizzazione è rappresentata in figura. L infrastruttura di virtualizzazione è definita e controllata attraverso una componente di management detta Vcenter server. Si tratta di un server virtuale avente indirizzo IP 192.168.200.55 ed FQDN vcenter.hackingteam.local. 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 10 di 16
4 Accesso e gestione dell infrastruttura di virtualizzazione Per accedere e gestire l infrastruttura di virtualizzazione è stata istanziata una macchina virtuale ad hoc con funzioni di management console. La macchina virtuale ha indirizzo IP 192.168.200.50, FQDN win7mgmt.hackingteam.local ed è accessibile via RDP. Questa macchina virtuale è configurata con sistema operativo Windows 7 ed è integrata al dominio active directory hackingteam.local. Tra gli applicativi ivi installati vi sono il client Vmware vsphere per l accesso e la gestione dell infrastruttura Vmware e il client Dell Modular Disk Storage Manager per la gestione della SAN. 4.1 Accesso e gestione dell infrastruttura Vmware Una volta loggati sulla management console (win7mgmt.hackingteam.local) con le proprie credenziali di dominio, lanciare il client Vmware vsphere e autenticarsi sul server vcenter.hackingteam.local utilizzando le medesime credenziali di dominio utilizzate in precedenza. IMPORTANTE Non utilizzare il client vsphere per accedere direttamente ai server ESXi (htvmprod1, ht-vmprod2 e ht-vmtest1). L accesso diretto ai server ESXi deve essere limitato ai soli casi di emergenza (indisponibilità della componente vcenter) e in nessun caso deve 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 11 di 16
prevedere operazioni di modifica dell infrastruttura Vmware (es. creazione di nuove macchine virtuali). La figura seguente illustra l organizzazione delle macchine virtuali all interno del cluster HT. Le macchine virtuali di produzione sono controllate da un sistema di monitoraggio che ne verifica la disponibilità. Ove una qualsiasi macchina virtuale di produzione non risulti accesa, viene inviata una notifica via e-mail a sysalerts@hackingteam.it. 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 12 di 16
A questo scopo è stato definito un allarme ad hoc (VMStatus). Le immagini seguenti ne illustrano la definizione. 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 13 di 16
N.B. L allarme è associato direttamente ai folder di produzione. Conseguentemente è sufficiente mettere una macchina in produzione (inserirla in uno dei due folder di produzione) affinchè essa venga immediatamente sottoposta a monitoraggio. 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 14 di 16
4.2 Accesso e gestione della SAN primaria Una volta loggati sulla management console (win7mgmt.hackingteam.local) con le proprie credenziali di dominio, lanciare Internet Explorer e puntare a http://192.168.200.12. Autenticarsi utilizzando le seguenti credenziali: grpadmin, <indovina_la_password>. 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 15 di 16
4.3 Accesso e gestione della SAN di backup Una volta loggati sulla management console (win7mgmt.hackingteam.local) con le proprie credenziali di dominio, lanciare il client Dell Modular Disk Storage Manager che non richiede autenticazione. 2005 Hacking Team Proprietà Riservata Numero Allegati: Pagina 16 di 16