Zum Gehäuse:
Das sehr gut gelungene massive Gehäuse ist sehr schnell zu öffnen. Die 4 HDD Einschübe befinden sich hinter einer abschließbaren Fronttür, das passende Werkzeug zum Einbau der Festplatten in die Rahmen fehlt leider genau wie die nötigen Schrauben zum befestigen der Festplatten. Standard Sekkopf-Kreuzschlitzschrauben für Festplatten passen glücklicherweise in die vorgesehenen Bohrungen. Um den Speicher zu erweitern muss das Mainboard aus dem Gehäuse herausgenommen werden. Das unter den Festplatteneinschüben liegende Board befindet sich auf einem Schlitten. Zum Herausziehen sind lediglich 2 Schrauben und einige Stecker zu lösen. Nicht gerade der Komfort eines DL380, aber bei diesen Gehäuseabmessungen immer noch relativ komfortabel gelöst. Das System kommt ohne optisches Laufwerk. Über den Festplatten und der Frontklappe befindet sich ein 5 1/4″ Laufwerksschacht mit vorbereiteter S-ATA Verkabelung.Ein Band oder optisches Laufwerk ist hier durch öffnen der oberen Abdeckung schnell eingebaut. Um unerwünschtes Öffnen dieser Abdeckung zu verhindern, kann ein Schloss an der Rückseite angebracht werden. Ausgestattet mit 2x 2TB Enterprise HDD´s wiegt der Server ohne optisches Laufwerk knapp 5 Kg.

Leistung unter Windows Server 2008R2
Direkt nach der Installation können alle Komponenten mit Standardtreibern angesprochen werden. Es empfiehlt sich aber unbedingt den Grafik-/ Netzwerk-karten Treiber zu installieren. Um Datenredundanz zu schaffen sollte auf Windows Bordmittel zurückgegriffen werden. Der interne Controller realisiert das RAID auch nur über die CPU, allerdings ohne Wissen des Betriebssystems. Bei solchen “Soft-RAID” Treibern sollte immer auf die Betriebssystem Funktionen zurückgegriffen werden. Nach Abschluss der Erstsynchronisierung schreibt das System durchschnittlich 80MB/s auf die Datenträger. Das integrierte Gigabit LAN kann damit zwar nicht gesättigt aber immerhin sehr gut Ausgelastet werden.

Serverrollen/Konfiguration
Um einen Server an einem unsicherem Standort aufzustellen, sollte in jedem Fall ein getrenntes Subnet der Größe /24 oder /25 in einer neuen ActiveDirectory Site angelegt werden. Alle Kommunikation von und zu diesem Standort sollten dann IPSec verschlüsselt werden. Um den Standort an den Firmensitz anzubinden, empfiehlt sich ein getrennter L2 VPN-Router. Damit wird eine 2-Faktor Verbindungsverschlüsselung erreicht. Über diese Verbindung dürfen dann ausschließlich IKE und ESP Pakete der IPSec Verbindungen zugelassen werden. Um die Inhalte der Festplatten zu schützen sollte unbedingt EFS aktiviert werden. Somit sind alle nicht Domänenmitglieder aus dem Netzwerk und dem Dateizugriff ausgeschlossen. Der Server selbst wird als RODC konfiguriert. Ein lokaler DNS Server sowie globaler Katalog stellen die Anmeldefunktionen bei fehlender Netzwerkverbindung sicher. Allerdings sollten auf gar keinen Fall Kennwörter Administrativer Konten an den Standort repliziert werden. Eine Anmeldung am Server mit Administrativen Rechten ist so nur möglich wenn die IPSec Verbindung zum Hauptsitz steht. Um Druckfunktionen zur Verfügung zu stellen, empfiehlt sich zusätzlich die Rolle “Druck und Dokumentendienste”. Auch die Rolle “DHCP-Server” ist nützlich. Zum sichern und abgleichen der Daten kann eine DFS-Replikationsgruppe eingerichtet werden. Somit sind immer alle Daten an mindestens 2 Standorten verfügbar.

Fazit:
Der kleine Server bietet neue Möglichkeiten um kleine Firmenstandorte, Baustellen oder ähnliches mit Servern auszustatten. In Verbindung mit einem L2 VPN-Router (z.B. Cisco oder Astaro) lässt sich der komplette Netzwerkverkehr so absichern, dass selbst ein Sniffer an einem Monitor-Port kein Risiko darstellt. Dank RODC und EFS sind auch die Daten und Benutzerkonten relativ sicher. Der Nutzen eines solchen Servers übersteigt auf jeden Fall das Restrisiko. Alternativ müssten alle Anwender ihre Daten lokal verwalten, fällt eine Festplatte aus ist alles weg. Truecrypt usw. bringen auch nicht viel wenn die Daten per SMB Freigabe zwischen den Systemen kopiert werden. Dank des Server kann die Kommunikation mit IPSec und Kerberos abgesichert werden und Mitarbeitern an Remote Standorten eine sichere Zusammenarbeit im Netzwerk ermöglicht werden.

Mehr zum Server auf der HP Produktwebsite.

Irgendwann hatte wer die Idee einfach nur die Platten der MSA30 zu ziehen. Der Controller startete. Im zweiten Versuch wurde die hälfte der Platten wieder gesteckt, der Controller bootete immernoch. Letztlich wurden alle Platten gesteckt und wundersamerweise startete der Controller immernoch. Also wo war das eigentliche Problem? Unbekannt. Würde mich mal brennend interessieren ob jemand dieses Verhalten kennt.

Was würde man wohl machen, wenn an einem Server ein Hotplug-Netztzeil eines redundanten Paares ausfällt? Ausbauen und auswechseln. Nun, man bei Netzteil defekten nie ganz sicher sein kann, das diese nicht doch noch andere Fehlfunktionen verursachen, am besten gleich ausbauen. Ist ja redundant. Was macht man bei einer MSA30 von HP? Am besten das defekte NT im Slot lassen bis Ersatz eingetroffen ist. Ja warum das denn? Folgendes ist passiert. Das Gerät hängt an einer MSA1500CS und beherbergt 14 SCSI-Festplatten eines R10 Volumes. Es verfügt über 2 Netzteile, die laut Dokumentation für Redundanz sorgen sollen. Nun viel eines der beiden Netzteile aus, wir haben es entfernt und nach exakt 5 Minuten schaltete sich die MSA30 ab die (ebenfalls Redundanten) Controller der MSA1000 in der 1500CS verworfen das logische Volume. Das war natürlich mit einem wunderschönem Crash der Server, die dieses Volume als zuhause für ihre Daten verwendeten. Wiederbeleben konnte man das Array erst, indem man die MSA30 UND die MSA1500 vollständig abschaltete, das defekte Netzteil wieder steckte, einmal an allen kabeln wackelte und zuerst die MSA30 und anschließend die 1500 wieder einschaltete. Alles andere als Hotplug. Darauf hin riefen wir bei HP an und meldeten einen Service-Fall. Es wurde ein Techniker vorbeigeschickt der sagte „Was? Wussten Sie nicht das die Geräte nur 5 Minuten mit einem Netzteil überstehen?“. Auf meine Frage wo man das nachlesen könne, sagte er „Das steht nicht in der Dokumentation, sollte aber eigentlich bekannt sein.“. Ganz toll. Muss man nun noch hellsehen können oder alle bekannten Fehler dieser Geräte auswendig lernen? Sehr seltsam. Das Problem, das die MSA nicht mehr neustartete wurde von ihm mit einem defektem Controller (MSA1000) begründet und dieser auch getauscht.

Problembeschreibung:
Das Problem wurde wie folgt nachgestellt:
Windows Server 2003R2 wurde auf einem DL360G4P neu installiert, anschließend das aktuelle ProLiant SupportPack im ExpressModus installiert. Nach dem anschließendem Neustart wurde Teaming für die beiden OnBoard NICs im 802.3ad Modus aktiviert, eine statische IP konfiguration erstellt und das System mit dem Netzwerk verbunden. Anschließend wurde die Netzwerkkonfiguration sowie die LACP aushandlung erfolgreich geprüft und Windows aktiviert. Nun wurden die aktuellen Hotfixes über WindowsUpdate eingespielt. Nach dem Neustart tritt das Problem auf. In den Reiter “Status” des “HP Network team” Interfaces ist keine IP-Konfiguration vorhanden (IP: 0.0.0.0) und das System versucht über DHCP eine Konfiguration zu erhalten. Wenn man allerdings Eingenschaften von TCP/IP aufruft um eine statische Konfiguration zu hinterlegen, ist diese noch vorhanden. Der Befehl ipconfig /all zeigt das selbe Ergebnis. Löst man das NetzworkTeam auf und konfiguriert eines der Interfaces statisch, wird die Konfiguration übernommen.

Ursache:
Nach der Installation des Hotfixes KB941644 werden komponenten der TCP/IP Protokolltreiber ausgetausch. Diese neuere Version funktioniert warscheinlich nicht richtig mit dem HP NicTeaming Treiber und verursacht das Problem.

Auswirkungen:
Der Server ist nicht mehr über seine statische IP erreichbar. Es scheint als ob das Interface auf DHCP konfiguriert wurde und keine IP erhält. Selbst wenn ein DHCP-Server im Netzsegment vorhanden ist, bekommt das Interface keine IP. Auch die LACP Aushandlung am Switch schlägt nach einspielen des Patches fehl.

Umgebung:
Windows Server 2003R2 ServicePack 2 inkl. aller Hotfixes bis 01.01.2008 sowie aller zusätzlichen Updates (IE7, XML Services usw.). Die aktuelle Version des ProLiant SupportPacks ist installiert. Eine neuere Version des Netzwerktreibers ist nicht verfügbar.

Lösung:
Nach der Deinstallation des HotFixes KB941644 ist das Problem vorerst behoben wurden. Allerdings ist die Sicherheitsanfälligkeit die mit diesem Hotfix behoben wurde wieder vorhanden. Der Workarround des Bulletins funktioniert und schließt die Lücke ohne die Konfiguration des Interfaces zu beschädigen.

Bulletin: Vulnerabilities in Windows TCP/IP Could Allow Remote Code Execution (941644)