Muss ein Server 2012 R 2 ständig online sein???

[piccolo1108]

Lasse mir nun doch ein Angebot wegen eines neuen Servers machen. Mein liebes Systemhaus behauptet, das Server müsse mit den Betriebssystem 2012 R2 ständig online sein??? Stimmt dies??? Da hängt doch dann der Rattenschwanz mit dran (Virenscanner, Firewall etc....)

[Meckelein]

Kein System "muss" dauerhaft Online sein, auch eine Webseite nicht, es ist dann halt nunmal nicht erreichbar über das Internet. Dies hat auch zur Folge, dass keine Updates eingespielt werden können, die auch erhebliche Sicherheitslücken schliessen. Es ist mit Online und Sicherheit immer wieder das gleiche Prinzip. Man stelle sich ein Haus vor, das ist der Computer. Dieses Haus hat erstmal keine Türen und Fenster, also ein Computer ohne Netzwerkverbindung. Jetzt möchte ich aber mit diesem Daten austauschen, also muss ich eine Türe installieren, Netzwerkkabel anschliessen. Wer bekommt jetzt einen Schlüssel für diese Türe? Nur ich, Personen dennen ich vertraue oder jeder, das ist das Thema Firewall? Als nächstes möchte ich Einrichtung in das Haus bringen, also quasi Updates einspielen. Hierfür muss ich die Türe für andere öffnen, die Möbelpacker als Beispiel, will ja die Couch nicht selber schleppen Hier muss ich auch wieder für Kontrollen sorgen, das macht man mit einem Virenscanner und weiterer Software die die Daten überwacht die in das System rein kommen. Man kann dieses Beispiel jetzt immer weiter verfeinern, aber das führt zu nichts.

Eine Sache über die man Nachdenken kann wäre, das interne Netz aufzubauen ohne Internetanbindung. Also so weit, dass Turbomed und Datenaustausch an den Arbeitsstationen und am Server laufen. Wenn jetzt ein Update benötigt wird, z.B. Quartalsweise für Turbomed, wird das Kabel für die Internetverbindung eingesteckt, der Techniker nimmt die Updates vor und anschliessend wird das Kabel wieder abgezogen. Also quasi Türe nur für den Zeitraum einbauen in dem ein Verantwortlicher da ist, des alles überwacht.

So lange man sich sicher ist, dass nicht durch z.B. USB Sticks Daten in das System eingeschleusst werden, kann man sich solche Sachen wie Firewall und Virenscanner sparen. Dann darf man aber auch nicht ohne Verantwortlichen einfach so die Internetverbindung an klemmen. Des weiteren kann man auch nicht einfach so unterm Arbeiten etwas im Internet nach schauen, z.B. Telefonnummer von anderem Arzt oder Apotheke, keine Mails empfangen usw. Es muss jeder für sich selber entscheiden, wie viel Sicherheit und wie viel Komfort er möchte.

[Macros]

Moin,

nein muss er nicht.
Es erleichtert einiges, aber bis auf bei der Einrichtung, brauch auch kein Server 2012R2 online sein.

Gruss
J

[EXEWERKER]

Die Frage ist ja, was ist online?
Online sein kann bedeuten, dass der Server in der Lage ist, geplant oder ungeplant eine Internetverbindung herzustellen. Damit kann man dann sinnvollerweise Sicherheitsupdates und Patches herunterladen etc. Dies kann man ja sehr einschränken, ist aber wesentlich besser als offline.

Online sein kann auch bedeuten, dass der Server von außen erreichbar ist. Dies sollte sicherlich nur kurze Zeit der Fall sein und ist ja auch nur mit entsprechender Technik und vertraglicher Vereinbarung zulässig. Dies betrifft zum Beispiel Teamviewer oder VPN Zugriffe. Dies muss man aber aktiv einrichten und passiert nicht von allein, außer man hat sich den entsprechenden Trojaner eingefangen.

Zur Funktion muss ein Server 2012 R2 in keinem Fall online sein. Aber wie gesagt, Updates wären zeitnah erforderlich. Wir verwenden oft Monitoring-Software um Daten von Sensoren und Parameter von Servern (SMART, Ereignisse, Sicherheitsvorfälle, Abstürze von TM und Diensten) zu bekommen, hier schickt der Server aktiv ein paar technische Daten (syslog) an unser System. Hier merken wir i.d.R. lange vor einem Ausfall, dass was schief läuft. Aber dagegen kann man sich ja entscheiden. Vielleicht hat der Anbieter das gemeint, mit seiner Aussage.

Eine "zusätzliche" oder "besondere" Firewall braucht man in keinem Fall, einen Virenscanner braucht man immer.

[elvito]

Hallo,

Wenn ihr Server die Rolle eines beschreibaren AD Domänencontrollers inne hat, sollte er idealerweise tatsächlich immer laufen. Die Erklärung liefere ich bei Bedarf nach, es ist allerdings sehr technisch und interessiert die meisten hier wohl eher weniger. Wenn Sie an 2 Standorten arbeiten und somit sogar zwei Domänencontroller (egal ob einer davon beschreibbar ist oder nicht) betreiben sollten die Server ebenfalls ständig laufen um Inkonsistenzen der AD Verzeichnisstruktur zu vermeiden. Wenn Sie nur Dateifreigaben, DHCP, DNS usw. machen kann der Server nach Feierabend runtergefahren werden.

schönen Gruß
elvito

[EXEWERKER]

...wenn mit Online (damit Variante 3) "eingeschaltet" gemeint ist, Ja. Wenn es ein DC ist, dann muss er sicherlich besser "an", aber nicht in jedem Fall "online" sein.

[piccolo1108]

Dass der Server 24 Stunden am Tag laufen sollte, ist mir schon nachvollziehbar. Es geht aber darum, dass mein Systembetreuer meint, er brauchte einen Onlinezugriff, damit der Server ständig Microsoft-Sicherheitsupdates ziehen könne. Muss dies denn wirklich sein? Ich habe mit meinem derzeitigen 2003er Server nie online gestanden und er ist immer gut gelaufen.

[elvito]

Hallo,

ihr Systembetreuer möge sich mit dem Windowsfeature "WSUS" beschäftigen und sich schämen falls er dieses nicht kennen sollte. Dabei fungiert ihr Server als Updateserver für die Clients. Der Zeitpunkt wann sich wiederum ihr eigener Server mit den Microsoftupdateservern synchronisiert kann man dabei einstellen.

schönen Gruß
elvito

[elvito]

Kleiner Nachtrag,

MS hat sog. Patchdays (https://de.wikipedia.org/wiki/Patchday) da können Sie den Server ja durchgehend online lassen. Es reicht jedoch vollkommen die verfügbaren Patches täglich 1-2x automatisch zu kontrollieren. Mit WSUS kann man wichtige oder sicherheitskritische Updates auch automatisch an die Clients bzw. sogar den Server verteilen lassen. Ich kann mir nicht vorstellen, dass ihr Server bei den Hackern auf den oberen Rängen gelistet ist, also können ruhig ein paar Std delay zwischen Erscheinen und Einspielen der Patches liegen.

gruß
elvito

[Meckelein]

Noch ein Hinweis hierzu. Ein Systembetreuer, der einen Server selbstständig Updates installieren lässt, gehört meiner Meinung nach eh gesteinigt. Ein Update kann immer für Probleme am System führen, bis hin zu einem nicht mehr startenden Windows. Auf einem Server werden in regelmässigen Wartungsintervallen die Updates eingespielt. Gerade Windows Systeme müssen nach Updates regelmässig neu gestartet werden. Klar machen auch Windows Server keinen automatischen Neustart nach Update Installation, aber wenn so ein System plötzlich nicht mehr startet sind etwaige Updates die vor Wochen eventuell eingespielt wurden, das letzte woran ein Techniker denkt. Es hat sich z.B. bei mir eingefahren, dass zu den Quartalsupdates von TM auch die Server und Clients komplett geprüft und Updates eingespielt werden. Dies kann man mit ein paar kleineren Scripten auch schön automatisieren. Und die wenigsten Kunden wollen die TM Updates direkt wenn diese verfügbar sind, die meisten warten lieber erstmal einen Monat ab, bis die gröbsten Probleme behoben sind.

[EXEWERKER]

es hat aber nicht jeder einen Systembetreuer....

[elvito]

Hallo,

Noch ein Hinweis hierzu. Ein Systembetreuer, der einen Server selbstständig Updates installieren lässt, gehört meiner Meinung nach eh gesteinigt. Ein Update kann immer für Probleme am System führen, bis hin zu einem nicht mehr startenden Windows.

nur steinigen ? Sie werden im Alter wohl langsam milde... Ich wollte damit verdeutlichen, das mit WSUS jedes Szenario möglich ist. Man sollte natürlich keine Updates automatisch einspielen lassen. Ich gehe z.B. so vor, dass ich 2 Clients (wir haben zwei Versionen vorkonfektionerter DELL Clients) und einen der beiden Server (2 Standorte beide gleichberechtigte AD DCs) in die Gruppe "Testrechner" gepackt habe. Bei neuen Updates bekommen zunächst nur diese PCs die Updates. Wenn es nach 1 Woche keine Schwierigkeiten gab, werden die Updates für den Rest der PCs genehmigt. In diesem Zeitraum werden auch keine neuen Updates für die Testrechner genehmigt um die von Ihnen bereits angesprochene Problematik der Nachvollziehbarkeit im Nachhinein zu eliminieren. Sollte gar der "Testserver" ausfallen ist die Anmeldung der Clients an der Domäne immer noch am anderen AD DC möglich, da dieser als Failback (DNS, AD usw.) konfiguriert ist. Man MUSS natürlich auch gelegentlich Baremetalbackups machen (wir 4x/a) sonst hat man u.U. ein komplett versautes Wochenende.

Die meisten "Admins" hier im Forum werden aber vermutlich einfach alle Updates einspielen die sie in die Finger kriegen. Ob man das nun manuell oder automatisiert macht ist da wohl egal. Ich würde trotzdem in diesem Fall WSUS empfehlen, da man auch sehr angenehm die MS Knowledgbase zu jedem Update konsultieren kann ohne Verrenkungen mit dem Browser machen zu müssen. Bereits ab 5 PCs spart man damit aufs Jahr gerechnet nicht unerheblich Arbeitszeit und Internetbandbreite ein.

schönen Gruß
elvito

[Macros]

Noch ein Hinweis hierzu. Ein Systembetreuer, der einen Server selbstständig Updates installieren lässt, gehört meiner Meinung nach eh gesteinigt. Ein Update kann immer für Probleme am System führen, bis hin zu einem nicht mehr startenden Windows. Auf einem Server werden in regelmässigen Wartungsintervallen die Updates eingespielt. Gerade Windows Systeme müssen nach Updates regelmässig neu gestartet werden. Klar machen auch Windows Server keinen automatischen Neustart nach Update Installation, aber wenn so ein System plötzlich nicht mehr startet sind etwaige Updates die vor Wochen eventuell eingespielt wurden, das letzte woran ein Techniker denkt. Es hat sich z.B. bei mir eingefahren, dass zu den Quartalsupdates von TM auch die Server und Clients komplett geprüft und Updates eingespielt werden. Dies kann man mit ein paar kleineren Scripten auch schön automatisieren. Und die wenigsten Kunden wollen die TM Updates direkt wenn diese verfügbar sind, die meisten warten lieber erstmal einen Monat ab, bis die gröbsten Probleme behoben sind.

Moin,

hier bin ich ja mal anderer Meinung, wenn alles sauber gecodet ist und sauber wieder anstartet, dann kann man sehr wohl alle Systeme automatisch neu starten lassen nach einem Update.

Das mache ich in Umgebungen, die deutlich kritischer sind, wie eine Arztpraxis regelmässig...
Wurde zwei / drei mal getestet und dann ist gut.

Und ja, ich weiss, das Arztsoftware leider deutlich schlechter geschrieben ist, als andere Business Software.

Warum zum Beispiel Programme heute noch unter c:\Windows\... Daten ablegen wollen, wo es seit jetzt (Änderung war mindestens Vista, wenn nicht sogar XP!) den Hinweis gibt, dass sie dort nichts zu suchen hat, frage ich mich auch immer wieder.

Gruss
J

[Meckelein]

Bei Clients sag ich ja nix gegen einen automatischen Neustart. Nur leider wurde ich schon öfter zu neuen Kunden gerufen, weil der Server oder eine Software nicht mehr startet. War jedes mal iwie von einem Bekannten oder vom Sohn der Informatik studiert usw. supportet. Häufig war es ein Betriebssystem Update das vor Wochen automatisch eingespielt wurde und nach einem Neustart Probleme bereitete. Ich bevorzuge auch die Lösung von elvito. Ein Testsystem, auf dem Updates eingespielt werden, anschliessend Testlauf und dann die Updates weiter verteilen. Es kostet einfach mehr Zeit die ganzen Log Dateien von einem nicht funktionierenden System runter zu holen und auf meinem Notebook nach Ereignissen zu durchsuchen, als mit einem Testsystem zu arbeiten. Im Normalfall lasse ich virtuelle Systeme bei mir laufen, mit dennen ich die Tests durchgehe. Wobei hier meist nur Funktionstests ausgeführt werden, also startet das System, startet die Software, ist eine Verbindung mit der DB möglich usw. usf.

Und zu dem sauber gecodet, es wird alles von Menschen gemacht und die machen nun mal Fehler. Es kann im Vorfeld auch nie jede Möglichkeit geprüft werden, wodurch es immer wieder vorkommen kann, dass ein Update Probleme verursacht an die man vorher nicht gedacht hat. Das ist alles nicht böse gemeint von mir, es entspringt einfach aus persönlichen Erfahrungen, auch aus Problemen durch meinen selbst geschriebenen Code

[Augendoc]

Auch wenn meine PC-Kentnisse sehr rudimentär sind, sei es mir gestattet, hier meine 10jährige Erfahrung mitzuteilen.
Ich habe eine Server-Installation mit inzwischen insgesamt 7 Arbeitsplätzen plus Server sowie Notebook für den Notdienst. Und das alles hat keine Verbindung zur Außenwelt, sprich keinen Internetanschluss. In den 10 Jahren habe ich die Arbeitsplatzrechner nach und nach ausgetauscht und 2014 inklusive Server einmal komplett neu gekauft (Einstellung von Windows-XP-Support). Windows-Updates habe in den 10 Jahren nicht benötig und nicht vermisst. Die Updates von TM spiele ich auch von der CD/DVD ein (Ja, ich verschwende meine Zeit nicht mit Downloads von TM aus dem Internet).
Damit habe ich in den 10 Jahren noch keine Probleme mit Viren, Würmern oder sonstigen elektronischen Parasiten gehabt. Nur halt mir den manchmal auftretenden Fehlern in TM.
Meine Praxis hat auch einen Internetanschluss sowie FAX und Telefon. Aber das alles geht auf einen vom Server-Netzwerk komplett getrennten Rechner. Damit habe ich natürlich nicht die Möglichkeit, Faxe gleich bei TM abzuspeichern (geht über den Umweg des Ausdruckens und Einscannens), E-Mails an die Patienten aus TM heraus zu verschicken oder aus TM heraus anzurufen. Aber die Nerven, die ich nicht für aufreibende Virenangriffen vergeude, kann ich gut beim medidativen Wählen mit einem klassischen Telefon verwenden.
Vor 10 Jahren hatte mein Server noch eine eigene Telefonleitung. Damit konnte das Systemhaus Wartungen am Server vornehmen. Das war bei mir nach 6 Mo nicht mehr nötig, da wir das seitdem allein machen.
Sie sehen also, ein Server muss nicht im Internet sein, um zu funktionieren. Für Wartungen wäre zu klären, ob das Internet nur für die Zeit der Wartung angestöpselt werden kann. Das wurde ja weiter oben so schön mit der Tür und den Möbelpackern beschrieben.

Viele Grüße vom Augendoc

[EXEWERKER]

Es spricht sicher vieles dafür, komplett offline zu sein. Das ist fast schon eine philosophische Frage.
Aber das Internet ist nicht das Problem. Die Mehrzahl der Angriffe und Datenpannen werden von "innen" ausgelöst, wie bereits beschrieben. Ob offline oder online, alle Systeme müssen auf dem aktuellen Patchlevel und mit einem wirksamen und aktuellen Virenschutz ausgerüstet sein. Dies schreiben nicht nur Gesetze und Verordnungen vor (auch die KBV und die BÄK), sondern man schläft auch besser.

Beispiel aus meinen letzten 10 Jahren:

Kardiologe mit Langzeit-EKG Auswertung verteilt seine Speicherkarten für LZEKG Recorder in einer ganzen Region. Innerhalb einer Woche fallen mehrere Praxen mit katastrophalen Computerproblemen aus. Die "online" Praxen haben sofort gemerkt, dass ein uralter Worm.Win32/Conficker auf den Karten war, weil 1. ein Virenschutz da war und 2. die Systeme immun dagegen waren. Der Rest fiel für Tage aus, der Schaden vermutlich 6-stellig. Keine der "offline" Praxen erhält etwas von seiner Versicherung...der Internist auch nicht. Grobe Fahrlässigkeit + gerichtlicher Ärger

Das mag nicht so oft vorkommen, ich kenne einige ähnliche Fälle, Virenbefall in "online" Praxen kommt auch vor ( meistens Mails in der Anmeldung) ..auch Fahrlässigkeit, aber kleine Auswirkung.

Der Praxisinhaber haftet persönlich und in unbegrenzter Höhe für Organisationsverschulden. Ein Blick in BSDG §42a ( http://www.gesetze-im-internet.de/bdsg_1990/__42a.html ) zeigt die Katastrophe eines verlorenen USB Sticks, obwohl man gar nichts "verbrochen" hat. Haben Sie ein Ahnung was erst passiert, wenn in der Praxis die Grundsätze (sog. TOM) bei der Verarbeitung von Personendaten nicht eingehalten waren? Gern hier auch einen Link: https://www.bfdi.bund.de/bfdi_wiki/inde ... 3%9Fnahmen ...alles andere ist ist strafbewehrt, eigentlich. Deshalb stellt sich für mich nicht die Frage "online" oder "offline", sondern habe ich alle Maßnahmen getroffen, dass ich nicht haften muss (weil ich alles technisch und organisatorisch Gebotene getan habe) und daher ruhig schlafen kann.