Doporučené parametry serveru pro remote desktop

[muskwa1977]

Dobrý den,

rád bych se s vámi poradil ohledně plánovaného nákupu počítače pro účely provozu XP/VS Terminal Serveru pro řekněme 3 současné relace. Jedná se o klasickou kancelářskou aplikaci - klienta s firebird databázi, stroj s databází bude na jiném počítači v síti. Jaké by podle vás měl splňovat parametry, aby práce byla co nejplynulejší? Mám představu, že je důležité zejména co se týká množství RAM a procesor nějaký Xeon?

Děkuji za nápady!

[Reklama]

[nocturne.op.15]

Neříkáte jaký OS na tom hodláte provozovat, takže se bavme o Windows Serveru 2022 - 8GB na OS + 500GB-1GB na session obvykle stačí. Neznám ale termín "klasická kancelářská aplikace" - to může být cokoli, bez otestování si o tom stejně můžeme myslet co cheme a všichni mají pravdu.
Design takhle malého řešení je ale dost nepodstatný, řešit v dnešní době nákup čehokoli, co nemá aspoň 32GB RAM je zločin.

 Spíš mě zajímá provoz jako takový z hlediska práva - máte provedenou nejakou analýzu v našem právním prostředí, zda je možné takovou aplikaci provozovat?
Thinstuff dost operuje v šedé zóně, kdy najednu stranu říkají, že všechno je legální, ale taky řeknou - zajistětě si analýzu dle vašeho práva, my rozhodně nedoporučujeme používání čehokoli mimo mantinely dané EULA. Točí se tam dost podivně na slovních hříčkách, ale nikdy nevylučují že to třeba znamená i nutnost nakoupit CALy dle podmínek MS. Někdy TS předvádí dost podivné lavírování typu "k některým produktům RDS CALy koupit nejde, to je problém MS".

Jak to řešíte vy?

[ksfj]

Opravdu se vyplati porizovat TS licenci pro 3 uzivatele? Myslim si ze je to ekonomicky nesmysl...
Pro tri uzivatele kup 3x repasovanej SFF Dell nebo HP a dej to nekde do kumbalu... a zapni RDP v WinPro.

O legalite reseni Thinstuff si myslim sve. (Pokud to pojede na WinClient tak to proste legalni neni)

[honzako]

Myslím, že na RDS (což je služba gateway pro TS server) by měl být samostatný server, že to tam nejde nainstalovat na doménový řadič, a domnívám se že je zapotřebí mít windows doménu. Samozřejmě jeden server to obslouží pomocí Hyper-V.
Nicméně licence RDS se prodává min. pro 5 uživatelů/zařízení.
A licenci Windows serveru musíš mít Standard + CAL + Windows Pro na desktopech.

Tzn. 20 tis (server) + 10 tis. (CAL) + 15 tis. (RDS) = 45 tis. za software.
Server stačí klasická HP ML350 (RAM >64GB) za 60-100 tis.
Hlavně si tam dej firewall s VPN (+10-20 tis.) + geoblocking, protože útoky začnou přicházet hned druhý den.

[muskwa1977]

Děkuji za odpovědi. V současnosti jedeme na 3 počítačích s Windows 10 Pro, na kterých funguje specializovaný software. V současnosti pracujeme přes AnyDesk.
U toho je licencování podle počtu současně spuštěných klientů, takže tam se licencování řeší samostatně a nemělo by být problém v případě remote desktopu.

Problém nyní je, že někdy se dostaneme do situace, že na jednom počítači někdo pracuje fyzicky přítomen a k tomu by chtěl další člověk něco dělat na dálku. Můj nápad je tedy pořídit jeden počítač, který by fungoval jako server pro remote desktop a na něj se mohli lidé připojovat. Byl plán, že by počítač - server jel na Windows 10 Professional...
Ohledně Thinstuff serveru jsem uvažoval vzhledem k výhodné ceně. Pořizuji repasované pc, které postačují. Ten cenový nástřel v desítkách tisíc je takto mimo hru, ale je otázka, zda takovéto řešení lze pořídit levněji?

[Reklama]

[muskwa1977]

Jak tak o tom přemýšlím, možná cost-effective varianta by byla i použít u každého z těch 3 počítačů na Win 10 Pro ty 2 defaultní RDP licence? Dal by se pak počítač při používání jiným uživatelem přes RDP používat i běžným způsobem? Co se týká původní otázky, tak asi zásadní je dostatečná RAM, počítače už běží na SSD discích...

[crown]

Otazka - ten specializovany software je schopen bezet pres wine (nebo dokonce dosemu) ? Hodne starych veci bezi, tim se hodne zjednodussi licencovani serveru - proste linux a spoustu klientu najednou netreba licenci. Zkuste to, treba to pujde.

[alex6bbc]

3 lidi, 3 kompy, proc by nekdo mel potrebu lezt na cizi komp?

[muskwa1977]

Těch lidí je více (cca 6-8), uvedený počet 3 je odhadovaný maximální počet současných připojení na remote desktop.

[nocturne.op.15]

Myslím, že na RDS (což je služba gateway pro TS server) by měl být samostatný server, že to tam nejde nainstalovat na doménový řadič, a domnívám se že je zapotřebí mít windows doménu. Samozřejmě jeden server to obslouží pomocí Hyper-V.
Nicméně licence RDS se prodává min. pro 5 uživatelů/zařízení.
A licenci Windows serveru musíš mít Standard + CAL + Windows Pro na desktopech.

Ano a ne. Trochu to rozvedu...

- RDSH (remote dekstop session host) nelze provozovat na DC, byl by to totální hazard a nejde to, dikybohu. Samostatný server je must have. Leckdy se to lepí dohromady s aplikačními servery, což je prasečina, ale pokud má někdo neodolatelnou touhu míchat backend a frontend, prosím. Na jeho riziko, ale s velkým vykřičníkem a písemně potvrdit prosím. Dobrou praxí je držet RDSH snadno postradatelný a nahraditelný.

- RDGW (remote desktop gateway, tedy ta HTTPS gateway) je celkem nutnost, pokud není RDSH server za VPN. K provozu technicky nevyžaduje RDS CALy, licenčně ano (i přestože je samotná služba RDGW nijak nehlídá. RDS CALy vyžaduje i v případě, kdy se RDGW používá pouze pro tunelování provozu na vnitřní stanice - k čemuž se používá a je to docela fajn. Někdy se dočtete, že jako CAL se počítá to, že přistupujete na desktop, který má windows pro licenci - je to nesmysl. Využiváte služeb serveru a jeho role RDS, musíte k ní mít cCAL, bez ohledu na to, kde session ve finále skončí.
Publikovat samotné RDP ven je jasná vstupenka do světa disaster recovery. Protokol je prolomený a chyby v něm aktivně zneužívané.

- RDGW klidne může bežet přímo na RDSH serveru, je to plně podporovaný scénář

- Oficiálně je podporované nasazení RDS (tedy terminálových služeb) pouze v prostředí domény. Neoficiálně to lze i jinak, není to zakázané, ale je to úplně nahovno. Nevím, proč by to kdo dělal.

- pro provoz RDS nejsou potřeba klienti s Windows Pro na desktopech, to jste si myslím popletl. Windows Pro samy poskytují RDS službu - ovšem pouze pro jednu session. Pokud mě paměť neklame, je v EULA výslovně zakázáno použivat více vzdálených session na dekstopové OS, bez ohledu na způsob, jakým k tomu dojdete.

[nocturne.op.15]

Těch lidí je více (cca 6-8), uvedený počet 3 je odhadovaný maximální počet současných připojení na remote desktop.

RDS CALy nejsou na concurent session. RDS caly musíte mít na uživatele (tedy "per user"), kteří služby využívají, je fuk, jestli současně nebo ne.

Výjimkou, dosti neobvyklou, je pořízení RDS CAL per device, kdy je licence vydaná pro počítač, který se připojuje a může nse na něm střídat víc lidí. V normálním světě je to výhodné snad jen pro třísměnný provoz, jinak nevím.

[muskwa1977]

Dobrý den,

děkuji všem za vyjasnění problémů s licencemi, netušil jsem ty podrobnosti. Zvážím variantu s linuxovým serverem a využití Wine, to mne předtím nenapadlo.

Díky moc.

[M_D]

Tak pokud ta aplikace poběží OK pod Wine bez nějakých artefaktů, tak je to asi zajimavá cesta.
Otázka je, co použít pro vzdálený přístup z Internetu vzdáleně na linux desktop v nějaké rozumné variantě a co vše od toho spojení budu chtít (jen tupé KVM, 3D akcelerace, přenosy souborů, sdílení tisku/USB/čipové karty, ...). Řešíme něco podobného a používáme k tomu nakonec NoMachine po tunách experimentů.
Což nějaké euro stojí. Pokud bych chtěl řešit 4 virtuální desktopy z jednoho serveru, tak cca 120 EUR/rok (NoMachine Workstation). Používáme to i pro přístup na Win desktopy a větší servery s přesunutým Cloud serverem, ale to už je blbost pro tento případ.

[crown]

Treba na serveru xrdp a pak se muze jednoduse pripojit jako klient i windows. (Linux rdp klienti jsou samozrejme taky)

[František Ryšánek]

Ohledně rizik sdružování "serverových rolí" jste byl varován povolanějšími.

Pokud jde o to, postavit co nejmenší a nejlevnější terminal server... co "TS Plus?" A samozřejmě pořešit licence pro Microsoft, dejte císaři co je císařovo.

Souhlas s tím, že vystrčit nahý RDP/RDS socket do divokého internetu je o hubu / pozvánka pro jezinky. Proto za mě: zavřít to ještě do VPN, případně navrch omezit "odkud se smí na VPN", nasadit klíče, fail2ban, buzerovat uživatele s drsnými hesly. Prostě least privilege.

Zmínil bych jednu drobnost: na TS a DB serverech, i na firewallu pokud ho postavíte "na koleně" z Linuxu, pohrajte si s nastavením C-statů. Bývá k tomu jedna či více položek v BIOS SETUPu, v linuxu na kernel cmdline existuje intel_idle.max_cstate=1 (např.). Pokud se o to nezajímáte, uplatní se nějaké defaulty = počítače se snaží "klimbat co nejvíc". Pokud následně C-stavy zkrouhnete, možná budete pozorovat zajímavé efekty. Nebo taky ne - záleží, jak máte napsaný a vrstvený software (síťoviny, DB, aplikaci, prezentační front-end). Ono by dávalo smysl, omezit C-stavy i na klientském PC - akorát ono to nejde "za jízdy na požádání", znamená to reboot a něco chvíli štrachat pod kapotou, a jet třeba noťas trvale s vypnutými C-stavy je otrava - dojezd na baterku spadne klidně na polovinu apod.