Proxmox dla JST: wirtualizacja w samorządzie

Wdrażamy klastry Proxmox w urzędach i jednostkach podległych: z backupem, segmentacją sieci i dokumentacją pod SZBI. Znamy realia projektów Cyberbezpieczny Samorząd i FERC 2.2, od rozeznania rynku po protokół odbioru.

Skąd temat wirtualizacji w samorządzie

Programy Cyberbezpieczny Samorząd i FERC 2.2 dały jednostkom realne środki na modernizację infrastruktury. Równolegle KRI i ustawa o krajowym systemie cyberbezpieczeństwa wymagają od Państwa ciągłości działania systemów, kopii zapasowych, rozliczalności i zarządzania incydentami. W praktyce trudno te wymogi spełnić na pojedynczych, starych serwerach fizycznych bez spójnej warstwy wirtualizacji i backupu.

Do tego doszła zmiana po stronie komercyjnych hypervisorów: darmowy ESXi został wycofany, a licencjonowanie VMware po przejęciu przez Broadcom przeszło na subskrypcje rozliczane per rdzeń. Dla jednostki z ograniczonym budżetem bieżącym oznacza to koszt, który wraca co roku, niezależnie od tego, czy projekt unijny jeszcze trwa.

Dlaczego open source ma sens w JST

Proxmox VE to dojrzała platforma wirtualizacji oparta o KVM i LXC. W kontekście samorządu liczą się cztery rzeczy:

Sami pracujemy na tej platformie produkcyjnie: hosting IQHost działa na naszych klastrach Proxmox (8 węzłów, ponad 4 TB RAM, dwa serwery Proxmox Backup Server w dwóch lokalizacjach z ponad 100 TB). Wdrażamy to, na czym utrzymujemy 8 044 aktywnych stron przy 99,94% uptime.

Co wdrażamy w jednostkach

Zakres dobieramy do wielkości jednostki i zapisów wniosku o dofinansowanie. Typowe elementy:

Klaster Proxmox z HA2-3 węzły z kworum, automatyczne przejęcie maszyn po awarii węzła, migracja na żywo bez przerwy w pracy urzędu (zobacz: klaster HA).
Proxmox Backup ServerDeduplikowane kopie zapasowe na osobnym sprzęcie, retencja pod wymogi KRI, cykliczne testy odtwarzania (zobacz: PBS).
Segmentacja sieci VLANRozdzielenie sieci urzędowej, gościnnej i serwerowej, porządek w adresacji, ograniczenie ruchu między strefami.
Firewall / UTMpfSense lub OPNsense na styku z internetem: filtrowanie, VPN dla pracy zdalnej, kontrola ruchu wychodzącego.
SIEM WazuhZbieranie i korelacja logów z serwerów i stacji, alerty o incydentach, materiał dowodowy wymagany przy obsłudze zgłoszeń.
Skaner podatnościCykliczne skanowanie infrastruktury, raporty z priorytetyzacją, wsparcie w łataniu znalezionych luk.
Hardening urządzeńUtwardzenie konfiguracji serwerów, przełączników i stacji roboczych według checklist, wyłączenie zbędnych usług.
Dokumentacja SZBI-readyDokumentacja powykonawcza i procedury (backup, odtwarzanie, reagowanie na awarie) w formie gotowej do włączenia do SZBI.
Szkolenie informatykówWarsztaty na Państwa środowisku: administracja klastrem, backupy, odtwarzanie, obsługa awarii (zobacz: szkolenia).

Decyzje projektowe robimy jawnie. Czy klaster ma mieć 2 węzły z QDevice, czy 3 pełne węzły, czy storage to ZFS z replikacją, czy Ceph, jak ustawić fencing i co się stanie przy awarii zasilania: każdy z tych wyborów opisujemy z konsekwencjami i kosztami, zanim Państwo podpiszą specyfikację.

Wsparcie w zamówieniach publicznych

Wiemy, że w jednostce zakup zaczyna się dużo wcześniej niż od faktury. Dlatego:

Mamy wieloletnie doświadczenie z procedurami zamówień publicznych i wiemy, jak wyglądają kontrole projektów unijnych, więc dokumenty przygotowujemy tak, żeby bronią się same.

Sprzęt: nowy lub poleasingowy z gwarancją

Serwery dobieramy pod budżet projektu, nie odwrotnie. Dla większych jednostek zwykle nowy sprzęt Dell lub HPE przez partnerów, dla mniejszych często lepszym wyborem jest sprzęt poleasingowy z gwarancją: te same serwery klasy enterprise za ułamek ceny, co pozwala w tym samym budżecie zmieścić trzeci węzeł albo osobny serwer backupu. Jak dobieramy konfiguracje, opisujemy na stronie serwery i storage pod Proxmox.

Wirtualizacja to część większej całości

Klaster Proxmox jest zwykle jednym z elementów projektu cyberbezpieczeństwa w jednostce. Pełny zakres naszej oferty dla samorządów, od sieci przez bezpieczeństwo po stacje robocze, znajdą Państwo na stronie infrastruktura IT dla JST oraz w skróconym dokumencie: zakres oferty dla JST (PDF).

Pytania, które słyszymy od jednostek

Czy oprogramowanie open source spełnia wymogi stawiane JST?

Tak. Ani KRI, ani ustawa o krajowym systemie cyberbezpieczeństwa nie wymagają oprogramowania komercyjnego. Wymagają rozliczalności, ciągłości działania, kopii zapasowych i zarządzania ryzykiem. Proxmox VE i Proxmox Backup Server te wymagania realizują, a jawność kodu ułatwia audyt. Dostarczamy dokumentację wdrożenia przygotowaną pod SZBI, więc audytor dostaje komplet: architekturę, procedury backupu i odtwarzania oraz zapisy z testów.

Co z gwarancją i wsparciem, skoro Proxmox jest darmowy?

Sprzęt ma gwarancję producenta lub dostawcy (dotyczy to także serwerów poleasingowych). Na oprogramowanie i konfigurację dajemy 30 dni wsparcia gratis po odbiorze wdrożenia, a dalej opieka w ramach Proxmox Care od 2 500 zł netto miesięcznie. Opcjonalnie subskrypcja producenta Proxmox (od 120 EUR netto rocznie za socket CPU) daje dostęp do enterprise repo i wsparcia producenta. Subskrypcja nie jest licencją: system działa w pełni bez niej.

Jak wygląda rozliczenie w projekcie unijnym?

Pracujemy w rytmie projektu: zaliczka 30 procent i transze po odebranych etapach, faktury z opisami zgodnymi z pozycjami wniosku o dofinansowanie. Dostarczamy protokoły odbioru, dokumentację powykonawczą i potwierdzenia szkoleń, czyli materiały potrzebne do sprawozdawczości i kontroli. Pomagamy też na wcześniejszym etapie: odpowiadamy na rozeznania rynku i szacowanie wartości zamówienia.

Czy szkolicie pracowników jednostki?

Tak, szkolenie informatyków jednostki jest stałym elementem wdrożenia. Pracujemy na Państwa środowisku, nie na slajdach: codzienna administracja, tworzenie maszyn, migracja między węzłami, weryfikacja backupów i testowe odtwarzanie, reagowanie na awarię węzła. Celem jest samodzielność zespołu po zakończeniu projektu.

Planują Państwo wirtualizację w jednostce?

Napiszą Państwo dwa zdania o jednostce i etapie projektu (rozeznanie, wniosek, postępowanie), a my odpowiemy konkretną propozycją zakresu i wyceną. Odpowiadamy także na rozeznania rynku bez zobowiązań.

Zapytaj o wycenę dla jednostki