News QNAP TVS-h874: NAS mit Intel Core i9-12900 mit 16 Kernen und 2× 10 GbE

Gab es nicht mal irgendwo einen Artikel, das ZFS ohne ECC eigentlich auch immer noch relativ gut funktioniert. Das man fehlenden ECC RAM bei ZFS nicht also extrem gravierendes Problem ansehen sollte?
So weit ich mich erinnere war das Fazit das ZFS ohne ECC immer noch weit besser ist als alle anderen RAID Formen mit zugehörigen Dateisystemen.
Der Artikel war auch von einem ZFS Entwickler wenn ich mich jetzt richtig erinnere.
Ich finde den Artikel nicht auf die schnelle.
https://twitter.com/allanjude/status/1116112323549257728
Aber auch Allan Jude sagt, ZFS ohne ECC immer noch besser als alles andere und möglicherweise besser als andere Dateisysteme mit ECC.
Ferax schrieb:
Werde mir doch eine selbst bauen mit AMD Pro APU und ECC Ram. Aufschlag ist grob 100€ aber wenn ich schon ein NAS anschaffe für 900€ dann bitte in allen Belangen optimal ( ZFS und ECC).
Welches OS wirst du verwenden?
 
@Dummsday

Ok, also ich wollte dir das Setup nicht madig reden, du hast dir das so eingerichtet, dass es für dich bestens funktioniert - da gibt es auch keinen Grund Änderungen vorzunehmen.
Ich wollte nur darauf hinweisen, dass die Dinge, die du beschreibst, von deutlich kostengünstigeren Alternativen ebenso umgesetzt werden können. QNAP hat softwareseitig nichts zu bieten, was sich nicht auch so umsetzen würde. Zugegeben, dafür muss man sich dann auch ein wenig in die Materie einarbeiten, was man bei QNAP letztendlich aber auch muss.

VMs/KVM, 4 Kerne 3,4GHz CPU, 2,5Gbit, VPN Zugriff mit Wireguard, Darstellung der VMs im Browser...das sind alles keine großen Anforderungen, das können Unraid/TrueNAS usw auch, die Hardware dafür gibt es dann auch für 400€. Der unbestreitbare Vorteil der QNAP-NAS-Lösung ist das Gehäuse, das gibt es in der kompakten Form natürlich nicht. Obwohl es mittlerweile auch gute kompakte Server/NAS-Gehäuse mit Staubfiltern usw gibt, vor allem wenn man die Hot-Swap-Funktionen nicht braucht.

Mein Ärgernis mit den Anbietern wie QNAP und Synology ist immer, dass sie sich ihre proprietären Lösungen zuviel Geld kosten lassen und dann zu wenig Flexibilität bieten. Synology verbaut unterirdische Hardware, QNAP ist da besser, aber wirklich flexibel bin ich damit trotzdem nicht, siehe ECC, USV, Netzwerkkarten-Upgrade. QNAP zwingt einem dafür die Software und das Betriebssystem auf, das dort zur Verfügung gestellt wird. Für Standardanwendungen reicht es meistens, manchmal aber eben nicht. Das fängt schon bei essentiellen Security-Features an und endet spätestens bei Treibern, wobei sich diese Systeme schon dadurch davor schützen, dass man gar keine offenen Erweiterungsmöglichkeiten hat. Man will 10Gbit für seine 900€ Synology-NAS? Ok, aber nur mit der 150€ Synology-Netzwerkkarte, sonst geht da nichts. Ändern sich die Ansprüche an die NAS (Firma wächst, Aufgabenfeld verändert sich, Kunden entdecken Digitalisierung für sich, CMS/Datenbanken werden erforderlich etc), muss in der Regel ein neues NAS gekauft werden.

Es ändert nichts daran, dass auch für dein Usecase dieser NAS nichts wäre. Du brauchst keinen i9 der 12. Generation für deine VMs. Das Usecase dieses NAS schreit nach kleinem Unternehmen, bei dem 10 Leute die Dinge gleichzeitig auf dem NAS tun möchten, die du hier aufführst. Das können Sie dann zwar, aber nur solange sich der Arbeitsspeicher nicht verabschiedet oder es eine Stromschwankung im Netz gibt bzw bei Kanalarbeiten draußen nicht irgendjemand das Stromkabel anpiekst. Dann steht der Laden still und im schlimmsten Fall gibt es noch nen Datenverlust, der gerade bei fehlendem ECC echt übel werden kann, weil er nicht gleich auffällt und vermutlich auch das Backup betrifft. Wenn das die Datenbank mit Kundendaten etc betrifft, sind wir im GAU-Bereich. Sobald mehr als 5 Leute auf einem Server arbeiten, kommt man um USV/ECC meiner Meinung nach nicht herum, alles andere ist Pfusch.
 
Ich geb dir in allem recht ! :):):).
Der 16 Kerner ist total überzogen und ECC wäre eigentlich Pflicht. 8 Kerne und ECC wären sicherlich die bessere Lösung. Bei der Leistung des Gerätes und dem Anwendungsspektrum wäre auch ein zweites Netzteil sehr sinnvoll. Das gibt es aber leider nur als Rackmount.... Da hilft dann nur ein zweites Netzteil als Reserve im Schrank zu haben. Die Welt ist halt nicht perfekt...Der Austausch von so nem Netzteil dauert allerdings nur 10 Minuten...
Trotzdem haben diese Art von Geräten ihre Existenzberechtigung und vor 6 Jahren sah die Welt da auch noch ganz anders aus, da war die QNAP-Lösung mit dem KVM-Host defintiv ein Alleinstellungsmerkmal. Mein Gerät gab es übrigens mit ECC, aus irgendeinem Grund hab ich es aber nicht genommen. Die Geräte sind natürlich nicht so flexibel nutzbar wie eine komplette Open-Source Lösung, aber sie richten sich halt auch an Nutzer, die beim Management sich zwar in die Materie einarbeiten, aber nicht zum Nerd mutieren wollen. Und die Nicht-Nerds sind halt deutlich in der Überzahl und nutzten die Möglichkeiten eines solchen Geräts erfahrungsgemäß eigentlich nie aus...:D:D.
Ich hab mich selbst mal mit KVM abseits von QNAP beschäftigt. Das alles gut und sicher für mehrere VMs aufzusetzen ist sicherlich möglich, ist aber schon ein gewaltiger Aufwand und erfordert viel Einarbeitungszeit, die in KMU einfach nicht da ist. Das würde ich auch heute noch nicht machen.
Deine Lösung mit dem Dokumentenmanagment hört sich auch interessant an, ist aber wahrscheinlich nichts für die große Anzahl von Dokumenten die ich habe und verwaltet auch meine Ingenieurwissenschaftlichen Daten nicht. Für die Anwendung als DMS für Geschäftsdokumente scheint es mir dagegen interessant, insbesondere da es webbasiert ist. Paperwork als native App ist da sehr viel eingeschränkter..
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: cupidstunt
Für ein bißchen mehr bekommt man eine FAS 2750, mit Support für 5 Jahre mit allem drum und dran, inkl. Festplatten. Da liegt man dann bei rund 24-25.000 Euro. Dürfte für jede Firma die bessere Alternative sein.
Ich seh' beim Qnap den IT-Verantwortlichen schon in den nächsten Media Markt fahren, nach einer Festplatte suchen.
 
Manfred W. schrieb:
Also in der Preisklasse würde ich definitiv kein NAS ohne ECC RAM kaufen.
Wie kann man nur auf die bescheuerte Idee kommen Core i7 und i9 statt Xeon zu verbauen 🤦‍♂️
Meiner Meinung nach komplett am Markt vorbei entwickelt.
Gerade wenn es um Virtualisierung in Firmen geht. Das macht doch heute keiner mehr auf Hardware ohne ECC RAM.
Du hast natürlich recht was ECC angeht, aber es gibt keine kleinen XEONS mehr. Der 12900 ist ECC fähig, was früher das Xeon lineup war ist jetzt nur noch ein anderer Chipsatz. Das macht das ganze doppelt bescheuert der 12900 mit W680 Chipsatz ist ECC fähig.

Und nun könnte man sagen DDR5 ECC ist noch schwer zu kaufen, aber einmal ins Datenblatt geschaut und es wird noch DDR4 benutzt.


Das führt das ganz völlig ad absurdum. Ich kann mir ne Workstation/NAS mit 12900 und W680 Board (zugegebener Maßen die meisten Boards wie die von Gigabyte und ASUS sind schlecht lieferbar) mit ECC bauen. Aber das 4000€ NAS hat kein ECC ?

LukS schrieb:
Gab es nicht mal irgendwo einen Artikel, das ZFS ohne ECC eigentlich auch immer noch relativ gut funktioniert. Das man fehlenden ECC RAM bei ZFS nicht also extrem gravierendes Problem ansehen sollte?
So weit ich mich erinnere war das Fazit das ZFS ohne ECC immer noch weit besser ist als alle anderen RAID Formen mit zugehörigen Dateisystemen.
Das ist nicht immer ganz richtig. ZFS setzt viel mehr als andere Filesystems auf RAM-Caching. Und Daten im RAM ohne ECC sind halt anfällig.
Da vertraue ich eher ECC + BTRFS als non ECC und ZFS
 
LukS schrieb:
Welches OS wirst du verwenden?

Soweit mir bekannt ist ZFS gut in Sachen Datenintegrität und schreibt die Daten quasi öfter und gleicht so Fehler frühzeitig ab. Allerdings kommen die Daten ja auch aus dem RAM wo ECC dann behilflich ist dies auch zu gewährleisten.

Ich werde auf Truenas Scale setzen.
 
locke87 schrieb:
ECC (was Intel schuld ist. AMD kann das schon lange ohne Aufpreis
Bei AMD muss ich auch die PRO CPUs einsetzten, es ist einfach nicht Chipsatz abhängig. Wobei dies auch ein Vorteil sein kann, immerhin muss ich dadurch bei Intel mich nicht mit den Herstellerangaben auseinandersetzten und weiss alleine aufgrund des Chiptsatzes, ob ECC da ist oder nicht.

Dummsday schrieb:
Das ist mir bekannt und ich mag solche Open-souce Lösungen, allerdings ist speziell für meinen Fall die komfortable Verwaltung der virtuellen Maschinen auf relativ hohem funktionalem Niveau bei QNAP ein Alleinstellungsmerkmal
TrueNAS SCALE dürfte in dem Bereich eine starke Konkurrenz werden.

Dummsday schrieb:
Wireguard halte ich für sicher,
WireGuard schon, aber nicht die Implementierung von Synology. Kenne nur opnvpn von Synology, die kennen noch nicht mal Zertifikate!

Dummsday schrieb:
Ja, da gebe ich dir recht. Auch die QNAP-Geräte sind keine "Nobrainer". Man sollte schon wissen was man da tut und die Datenhaltungsstrategien gut planen..
An zwei Dinge sollte man sich halten:
  • RAID ist kein Backup, darum offsite Backup einrichten und mindestens einmal im Jahr testen
  • E-Mail Benachrichtigungen einrichten und mindestens einmal im Jahr testen

Letztens war ich bei einem Kunden. Der hatte den lokalen DNS 192.168.1.1 hardcodiert. Dann kam eine Modem Wechsel und ein Subnetz Wechsel. Dadurch wechselte natürlich auch DNS. Das NAS hatte ein RAID 6 und zwei Platten sind schon ausgefallen. Nur leider funktionierte die Mail Benachrichtigung wegen des falschen DNS nicht mehr und es ist über ein Jahr lang niemandem aufgefallen....

Zum Thema ECC gibt es X Diskussionen, wie realistisch ein Fehler ist.
Die Frage ist halt, ist mir Integrität wichtig?
Falls nein: Würde ich ext4 und mdraid oder sonst was nehmen. ZFS hat einige gravierende Performance Nachteile gegenüber traditionellen Dateisystemen
Falls ja: Wenn ich schon die ZFS Nachteile ein kauf nehme für mehr Integrität, komme ich nicht auf die doofe Idee beim RAM russisch Roulette zu spielen.
Ergänzung ()

phanter schrieb:
Das ist nicht immer ganz richtig. ZFS setzt viel mehr als andere Filesystems auf RAM-Caching. Und Daten im RAM ohne ECC sind halt anfällig.
Es geht nicht um den Cache, sondern darum, dass Fehler auf die Festplatte geschrieben werden. Cache ist kein Problem, der wird ständig neu aufgebaut

phanter schrieb:
Da vertraue ich eher ECC + BTRFS als non ECC und ZFS
Wie ist eigentlich der Status bezüglich BTRFS? Damals hies es, es sei nicht "battle-proofed" heute sehe ich kaum noch Interesse an BTRFS. Irgendwie sind alle auf openZFS gewechselt. Habe das Gefühl, Synology reitet mit BTRFS ein totes Pferd.
 
Zuletzt bearbeitet:
john.smiles schrieb:
Und meiner Erfahrungen nach mit EDV Firmen, die kleine Firmen betreuen, bieten sie nie etwas an, was nicht schon im Lager vor sich herschimmelt, mit Rabatt beim Hersteller wie zB: HP kommt oder was ihnen von der Administration nicht in den Kram passt.
Ich hab meinem Admin den Link geschickt, was ich mir wünsche bzw haben wir gemeinsam recherchiert. Er hats dann bestellt und installiert. Der hat sicher auch einiges rumgammeln, ist aber nur ein Thema, wenn ich danach Frage oder sonst keine Angabe mache.
 
jamesatlick schrieb:
Bei AMD muss ich auch die PRO CPUs einsetzten, es ist einfach nicht Chipsatz abhängig. Wobei dies auch ein Vorteil sein kann, immerhin muss ich dadurch bei Intel mich nicht mit den Herstellerangaben auseinandersetzten und weiss alleine aufgrund des Chiptsatzes, ob ECC da ist oder nicht.


TrueNAS SCALE dürfte in dem Bereich eine starke Konkurrenz werden.
Hab mir die Geräte mal angeschaut. Die könnten definitiv zu einer Konkurrenz zu den QNAP-Kisten werden...
 
Jetzt bitte noch eine Pro Variante mit:
redundanten Netzteilen
Genug RAM Bänke, das bis zu 512 GB ECC verwendet werden können.
Dann wäre es für Firmen die sich keinen Poweredge oder Ähnliches hinstellen möchten, eine echte Alternative.
Aber so, kein Plan wer sich das hin stellt.
 
Dummsday schrieb:
Hab mir die Geräte mal angeschaut. Die könnten definitiv zu einer Konkurrenz zu den QNAP-Kisten werden...
Würde noch ein Jahr warten, aktuell wird noch CORE für den Produktivbetrieb empfohlen. CORE taugt aber nu als NAS.

Dummsday schrieb:
Ein doppeltes Netzteil hat es jedoch leider auch nicht
Redundante Netzteile sind auch krass überbewertet. Netzteile steigen heutzutage extrem selten aus. Da gibt es hunderte Faktoren, die ich als grössere Risikoquelle sehe. Die gammlige Software zum Beispiel. Nur schon die erzwungenen Sicherheitsupdates mit unangekündigtem Reboot sind eine grössere Risikoquelle für die Uptime :)

Richtige Redundanz kostet auch unglaublich viel Geld. Nur ein doppeltes Netzteil reicht nicht, da braucht es einiges mehr. Will oder kann sich in einem KMU niemand leisten.
 
jamesatlick schrieb:
Würde noch ein Jahr warten, aktuell wird noch CORE für den Produktivbetrieb empfohlen. CORE taugt aber nu als NAS.
Naja, mein Gerät muss noch mind. 2 JAhre halten und dann mal schauen was es gibt.
Bei den TRUE-NAS Geräten sind übrigens relativ lahme CPU-Kerne von 2017 verbaut, wenn auch 8 Stück und ziemlich sparsam. Wäre besser wenn sie da in Zukunft irgendwelche ZEN basierten embedded CPUs von AMD o.ä. nehmen würden. die bringen Singlethreaded locker die doppelte Leistung.

jamesatlick schrieb:
Redundante Netzteile sind auch krass überbewertet. Netzteile steigen heutzutage extrem selten aus. Da gibt es hunderte Faktoren, die ich als grössere Risikoquelle sehe. Die gammlige Software zum Beispiel. Nur schon die erzwungenen Sicherheitsupdates mit unangekündigtem Reboot sind eine grössere Risikoquelle für die Uptime :)

Richtige Redundanz kostet auch unglaublich viel Geld. Nur ein doppeltes Netzteil reicht nicht, da braucht es einiges mehr. Will oder kann sich in einem KMU niemand leisten.
Aber wenn für so eine Kiste mit Speicherbestückung mind 10.000.- Euro auf den Tisch gelegt werden muss, dann will der Admin das doppelte Netzteil zumindest als Option auf der Checkliste haben. Wenn der QNAP Support wirklich so unterirdisch ist, dann ist es ja Pflicht eine Ersatznetzteil beim Kauf gleich mit zu bestellen..
Interessant ist ja, dass das Gehäuse von meinem QNAP-Gerät sogar für ein zweites Netzteil vorbereitet ist aber QNAP diese Option nie genutzt hat und auch keine intere Kabelage dafür verlegt hat. Die Produktpolitik hat da halt anders entschieden...
QNAP hat übrigens keine unangekündigten Reboots, auch nicht bei Sicherheitsupdates. Über einen Reboot entscheidet immer der Admin und der arbeitet bei mir im Zweifel auch am Wochenende :). Einen Reboot mache ich ca. alle 3-6 Monate..
Und nochmal. Die Software für die Grundfunktionaltäten (NAS, Backup, Netzwerk, VM-Managment) ist bei QNAP schon seit einigen Jahren nicht mehr gammelig. Das funktioniert mittlerweile alles sehr gut. Besonderheiten realisiert man halt über eine virtuelle Linux-Maschine, dann gibt es dann auch keine Probleme mit der Flexibilität und Anpassbarkeit des Systems...
Für richtige Redundanz stellt man sich halt zwei QNAP-Geräte hin, hab ich ja gemacht. Du wirst es nicht glauben aber sogar die virtuellen Maschinen können während des Betriebs auf das Zweitgerät transferiert werden...
Übrigens hab ich gestern Paperless-NGX installiert. Das gibt es nur als Docker-Container. Hab zuerst versucht es auf meinem Linux-Mint zu installieren und bin als Docker-Anfänger gescheitert. Dann ist mir eingefallen, dass das QNAP auch eine Container-Station für Docker-Images hat. Download und Start samt Netzeinbindung haben damit 5 Minuten gedauert, dann lief es :). Sicherlich muss da noch einiges konfiguriert werden aber es läuft schonmal..
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: locke87
Dummsday schrieb:
Bei den TRUE-NAS Geräten sind übrigens relativ lahme CPU-Kerne von 2017 verbaut, wenn auch 8 Stück und ziemlich sparsam. Wäre besser wenn sie da in Zukunft irgendwelche ZEN basierten embedded CPUs von AMD o.ä. nehmen würden. die bringen Singlethreaded locker die doppelte Leistung.
Wer CPU Leistung für VMs will, sollte Hypervisor und NAS trennen. Die Eierlegendewollmilchsau hat nun mal Nachteile.
Dummsday schrieb:
QNAP hat übrigens keine unangekündigten Reboots, auch nicht bei Sicherheitsupdates.
Wer es QNAP oder Synology? Jemand von beiden hatte einen forced reboot, auch wenn es in den Einstellungen nicht aktiv war.
Dummsday schrieb:
Und nochmal. Die Software für die Grundfunktionaltäten (NAS, Backup, Netzwerk, VM-Managment) ist bei QNAP schon seit einigen Jahren nicht mehr gammelig. Das funktioniert mittlerweile alles sehr gut. Besonderheiten realisiert man halt über eine virtuelle Linux-Maschine, dann gibt es dann auch keine Probleme mit der Flexibilität und Anpassbarkeit des Systems...
Die Sicherheit ist unbestritten Gammlig und die Software Gebastel. Wie bei TrueNAS SCALE ist im übrigen bezüglich Hypervisor auch Gebastel, verglichen mit ernsthaften Lösungen.
Dummsday schrieb:
Für richtige Redundanz stellt man sich halt zwei QNAP-Geräte hin, hab ich ja gemacht. Du wirst es nicht glauben aber sogar die virtuellen Maschinen können während des Betriebs auf das Zweitgerät transferiert werden...
Natürlich glaube ich dass, welcher Hypervisor kann dies nicht?! Während des Betriebs migrieren ist ja das mindeste, mit Cluster oder Shared Storage einen Totalausfall abfangen ist HA.
 
jamesatlick schrieb:
Wer CPU Leistung für VMs will, sollte Hypervisor und NAS trennen. Die Eierlegendewollmilchsau hat nun mal Nachteile.
Die NAS und Backupkomponenten bieten aber auch eine gute Basis für den Hypervisor

jamesatlick schrieb:
Wer es QNAP oder Synology? Jemand von beiden hatte einen forced reboot, auch wenn es in den Einstellungen nicht aktiv war.
Bei QNAP ist es einstellbar. Ich hab es so eingestellt, daß ich beim LogIn jedesmal gefragt werde ob ein Update und/oder Reboot durchgeführt werden soll.

jamesatlick schrieb:
Die Sicherheit ist unbestritten Gammlig und die Software Gebastel. Wie bei TrueNAS SCALE ist im übrigen bezüglich Hypervisor auch Gebastel, verglichen mit ernsthaften Lösungen.
Seh ich anders, die Sicherheit ist ok, wenn man die Geräte sinnvoll einsetzt und mittels externer Firewall /Router abdichtet. Im Endeffekt laufen auf einer QNAP die gleichen Softwaren wie auf einer Linuxdistri. Und eine pfSense-firewall o.ä. ist immer Pflicht, wenn man halbwegs professionell arbeiten will. QNAP liefert sogar eine Überwachungsoftware an, welche überwacht und meldet ob (Netzwerk)Dienste sicherheitsgefährdend konfiguriert sind. Das funktioniert ganz gut und das halte ich für 95% der Fälle wichtiger als das Thema Sicherhheitsupdates.
Das größte Sicherheitsrisiko sitzt immer vor dem Bildschirm, auch wenn es der Admin ist..
Natürlich wäre es großartig, wenn QNAP statt dem eigenen Linux ein Debian o.ä. als Basis nutzen würde und auch sinnvoll über SSH administriert werden könnte. Für drei viertel der Kundschaft reicht aber anscheinend auch der aktuelle Zustand und für QNAP erleichtert es den Gewährleistungsprozess, wenn die Kunden, welche ja zu großen Teilen nicht aus Fachleuten bestehen, nicht im unterliegenden OS rumfummeln können.

jamesatlick schrieb:
Natürlich glaube ich dass, welcher Hypervisor kann dies nicht?! Während des Betriebs migrieren ist ja das mindeste, mit Cluster oder Shared Storage einen Totalausfall abfangen ist HA.
Aber das es sogar auf den Consumerkisten funktioniert und von interessierten Laien eingerichtet werden kann ist schon beeindruckend.
Das größte Problem bei den semiprofessionellen QNAP-Kisten sehe ich darin, dass sie die professionellen Anwendungen mit den Consumerdiensten vermischen. Die Softwaren sollten definitiv getrennt werden...
 
Dummsday schrieb:
Bei QNAP ist es einstellbar. Ich hab es so eingestellt, daß ich beim LogIn jedesmal gefragt werde ob ein Update und/oder Reboot durchgeführt werden soll.
Ja, es ist einstellbar, wurde aber ignoriert! Das ist ja genau das Schlimme! Obwohl einige Kunden dies nicht aktiviert hatten, wurde es von Synology oder QNAP bewusst ignoriert und die Updates durchgeführt! Im Medienstatment hiess es danach, zu viele hätten die Funktion nicht aktiv und es wäre zu gefährlich gewesen.
In Wirklichkeit wollten sie einfach nicht schon wieder schlechte PR wegen gammliger Software, die von Ransomware befallen wird.

Dummsday schrieb:
QNAP die gleichen Softwaren wie auf einer Linuxdistri
Auf einer schlecht gewarteten, verbastelten Linuxdistri mit seltsamen addons. Ein Samsung Kühlschrank läuft vermutlich auch mit Linux, deswegen ist er noch lange nicht sicher.
Dummsday schrieb:
Überwachungsoftware an, welche überwacht und meldet ob
Und die soll es richten? Kenn es nicht, scheint aber nicht so toll funktioniert zu haben in der Vergangenheit.
Dummsday schrieb:
nicht im unterliegenden OS rumfummeln können.
Das eine schliesst ja das andere nicht aus. Ich kann eine solide Basis haben und dennoch den User im GUI nur wenig einstellen lassen.

Das Schöne ist ja, normalerweise sind diese Diskussionen eher theoretischer Natur. Ich kann nur sagen XY ist in der Architektur unsicher, dann kommt der Einwand, ja aber das ist wegen XY gar nicht so schlimm usw.
Bei QNAP und Synology hingegen haben wir alleine in den letzten 1-2 Jahren mehrfach ein Ransomware Problem. Das ist nicht mehr graue Theorie, sonder tatsächliche Fälle.
Dummsday schrieb:
Aber das es sogar auf den Consumerkisten funktioniert und von interessierten Laien eingerichtet werden kann ist schon beeindruckend.
Hyper-V und Proxmox können auch von Laien eingerichtet werden und können Livemigration. Wer eine pfSense verwalten kann, sollte auch dies hinbekommen.

Klingt jetzt alles viel negativer, als ich es eigentlich meine. Ein Laie kann tatsächlich vieles einfach einrichten auf Synology oder QNAP. Nur birgt dies eben auch Gefahren, weil ein Laie es eingerichtet hat. Es kann für den Anwendungsfall ok sein. Muss sich einfach der Gefahr bewusst sein. Bin ich Sanitär Müller vom Dorf kann auch zwei Tage Downtime wegen Ransomware verkraften oder habe ich 50 Angestellte, die alle den PC benötigen?

3 mal dürft ihr raten was passiert, wenn eine Firma, die so einen Bastel auf NAS macht, ins Router Geschäft einsteigt.

https://www.synology.com/en-global/security/advisory/Synology_SA_22_25
 
jamesatlick schrieb:
Ja, es ist einstellbar, wurde aber ignoriert! Das ist ja genau das Schlimme! Obwohl einige Kunden dies nicht aktiviert hatten, wurde es von Synology oder QNAP bewusst ignoriert und die Updates durchgeführt! Im Medienstatment hiess es danach, zu viele hätten die Funktion nicht aktiv und es wäre zu gefährlich gewesen.
In Wirklichkeit wollten sie einfach nicht schon wieder schlechte PR wegen gammliger Software, die von Ransomware befallen wird.
Ich kann mich bei QNAP an keinen solchen Fall erinnern. So ein vorgehen wäre ja auch die schlechteste PR-überhaupt..

jamesatlick schrieb:
Auf einer schlecht gewarteten, verbastelten Linuxdistri mit seltsamen addons. Ein Samsung Kühlschrank läuft vermutlich auch mit Linux, deswegen ist er noch lange nicht sicher.
Unter der Oberfläche laufen bzgl. des Grundsystems und der Kernanwendungen exakt die gleichen Softwarekomponenten wie bei jeder anderen Linuxdistri auch. Grundsystem und Anwendungen erhalten regelmäßig Updates und Sicherheitsfixes und bei meiner Kiste mittlerweile seit sechs Jahren..
Die Risiken sind somit vergleichbar zu jeder anderen Linuxdistri, eher geringer, da nur das notwendigste läuft..

jamesatlick schrieb:
Und die soll es richten? Kenn es nicht, scheint aber nicht so toll funktioniert zu haben in der Vergangenheit.
Nein, aber es bewahrt vor groben Administrationsfehlern, die meiner Erfahrung nach wesentlich häufiger auftreten als Sicherheitsprobleme in den Softwaren selbst..

jamesatlick schrieb:
Das eine schliesst ja das andere nicht aus. Ich kann eine solide Basis haben und dennoch den User im GUI nur wenig einstellen lassen.
Keine Ahnung warum QNAP eine weniger solide Basis haben sollte, sie nutzen die gleiche Softwarepakete..
jamesatlick schrieb:
Das Schöne ist ja, normalerweise sind diese Diskussionen eher theoretischer Natur. Ich kann nur sagen XY ist in der Architektur unsicher, dann kommt der Einwand, ja aber das ist wegen XY gar nicht so schlimm usw.
Bei QNAP und Synology hingegen haben wir alleine in den letzten 1-2 Jahren mehrfach ein Ransomware Problem. Das ist nicht mehr graue Theorie, sonder tatsächliche Fälle.
Hab gerade mal geschaut, warum mir das nicht aufgefallen ist..
https://www.heise.de/news/Qnap-warnt-vor-Ransomware-Angriffen-auf-Netzwerkspeicher-7099676.html
Aus dem Artikel geht hervor, dass die Probleme auf billigen Consumergeräten mit veraltetem QTS Betriebssystem aufgetreten sind und die Ransomware genau auf diese NAS-Geräte abzielt.
Mit einer anderen Distribution als Grundlage dürften bei vergleichbaren Verhältnissen auch die Probleme ähnlich sein. Keine Distri ist absolut sicher. In jeder schlummern unerkannte Sicherheitslücken..

jamesatlick schrieb:
Hyper-V und Proxmox können auch von Laien eingerichtet werden und können Livemigration. Wer eine pfSense verwalten kann, sollte auch dies hinbekommen.
Natürlich kann man recherieren, installieren und das auch anders konfigurieren, aber bei QNAP ist halt schon alles fertig installiert und mit dem Rest des Systems, dem Netzwerk und der Hardware fertig integriert. Das geht alles 10mal so schnell, es läuft sofort. Und da die VM-Station auf KVM basiert kann man mit den VMs bei Bedarf auch auf jede andere Linux-Distri umziehen, wenn einem QNAP nicht mehr gefällt.
 
Mich beschleicht das Gefühl, du bist nicht ernsthaft an einer Diskussion oder Fakten interessiert. Du nutzt einfach QNAP und verteidigst deine Investition. Darum werde ich mich nach diesem Post nicht weiter dazu äussern.

Die erzwungen Updates waren tatsächlich bei QNAP. Hier die Quelle:
https://www.bleepingcomputer.com/ne...after-deadbolt-ransomware-hits-3-600-devices/

Ist halt doof, wenn dein 24h Bade-Zutrittssystem über eine VM läuft, und diese VM bei QNAP Zuhause ist. Ist einem meiner Kunden tatsächlich so passiert.

Zum Thema Sicherheit nur ein Beispiel, vielleicht erkennst du dann, warum die Sicherheit so mies ist bei QNAP und Synology. Folgendes Zitate stammen aus diesem Artikel https://www.computerbase.de/2019-07/qnap-nas-ransomware-ech0raix/

Darüber hinaus rät QNAP zum Einsatz der neuesten Version der NAS-App Malware Remover und den Netzwerkzugriffsschutz zu aktivieren, um Konten vor Brute-Force-Angriffen zu schützen.

QNAP sagt hier also, um sich gegen SSH Brute-Force-Angriffe zu schützen, könne der User ein tolles Tool installieren, dieses bietet fail2ban.

Vergleichen wir das mal mit Ubuntu. Wie wird SSH dort gehandhabt? Per default funktionier nur public key, Password wird gar nicht erst zugelassen. Tadaaa, Problem gelöst! Brute-force Passwort erraten unmöglich. So einfach kann es sein. Kein Finger krumm gemacht.

Wie erwarte ich diese Funktion also bei QNAP umgesetzt? QNAP soll ja super einfach und anwenderfreundlich sein.

Wie würde ich sowas implementieren?
  • Standardmässig Password auth disabled
  • Falls der User Password im GUI aktiviert, eine Warnmeldung einblenden
  • eventuell sogar fail2ban erzwingen, bei Password auth
  • Von wo darf überhaupt ssh kommen? Begrenzung auf einzelne IP oder Subnet?
  • Wer wirklich Password auth ohne fail2ban nutzen möchte, soll dies in sshd_config anpassen
  • Public Key als GUI anbieten

Wie implementiert es QNAP tatsächlich?
  • Public key im GUI? Nee sorry! Geh bitte per SSH in die Shell und mach es selber!
  • Wie bitte? Du dachtest, nur weil du schon per SSH in der Shell bist und wie praktisch jedes OS die SSH Einstellungen unter /etc/ssh/sshd_config abgelegt ist, du könntest einfach unser default Wert anpassen gehen? Haha, du must noch viel lernen über unsere Software! Kannst du schon machen, aber nach jedem Reboot werden wir deine doofen Änderung mit unserem Softwaregefrickel neu überschreiben!

Und das ist nur ein Beispiel. Dazu noch ein mega simples und uraltes. Das sind die absoluten Basics. Wir reden hier nicht darüber, ob ein Auto 4 oder 5 Sterne im Crashtest hat. Wir sprechen darüber ob die Chinakiste überhaupt einen Airbag hat...

Wenn QNAP selbst an solchen absoluten Basics scheitert, wie soll es rauskommen, wenn Dinge wie UPnP im Spiel sind? Oder eine PhotoStation Website?
 
jamesatlick schrieb:
Mich beschleicht das Gefühl, du bist nicht ernsthaft an einer Diskussion oder Fakten interessiert. Du nutzt einfach QNAP und verteidigst deine Investition. Darum werde ich mich nach diesem Post nicht weiter dazu äussern.

Kompletter Blödsinn, wenn es vergleichbares als komplette Open-Source gibt, wird das definitiv mein nächstes Gerät. Deswegen such ich aber nicht krampfhaft bei QNAP nach Problemen, die sich in 5 Minuten umschiffen lassen.
Das ist exakt das gleiche wie mit der Fritzbox am Hausanschluss. Die kann auch nicht alles was der ambitionierte Frickelexperte gerne hätte, bietet aber in der Gesamtheit ein riesiges Leistungsspektrum, bei einfachster Bedienung, zu minimalen Anschaffungs-, Wartungs- und Stromkosten bei guter Sicherheit. Dafür stell ich mir keinen Zoo von Elektrogeräten hin, die den Wartungsaufwand und die Kosten verzehnfachen. Die Fritzbox versogt das ganze Haus und die Familie und die Geschäfts-IT hängt in einem eigenen Subnetz hinter einer kleinen PFSense. Läuft seit Jahren perfekt..

jamesatlick schrieb:
Die erzwungen Updates waren tatsächlich bei QNAP. Hier die Quelle:
https://www.bleepingcomputer.com/ne...after-deadbolt-ransomware-hits-3-600-devices/

Ist halt doof, wenn dein 24h Bade-Zutrittssystem über eine VM läuft, und diese VM bei QNAP Zuhause ist. Ist einem meiner Kunden tatsächlich so passiert.

Zum Thema Sicherheit nur ein Beispiel, vielleicht erkennst du dann, warum die Sicherheit so mies ist bei QNAP und Synology. Folgendes Zitate stammen aus diesem Artikel https://www.computerbase.de/2019-07/qnap-nas-ransomware-ech0raix/

Darüber hinaus rät QNAP zum Einsatz der neuesten Version der NAS-App Malware Remover und den Netzwerkzugriffsschutz zu aktivieren, um Konten vor Brute-Force-Angriffen zu schützen.

QNAP sagt hier also, um sich gegen SSH Brute-Force-Angriffe zu schützen, könne der User ein tolles Tool installieren, dieses bietet fail2ban.

Vergleichen wir das mal mit Ubuntu. Wie wird SSH dort gehandhabt? Per default funktionier nur public key, Password wird gar nicht erst zugelassen. Tadaaa, Problem gelöst! Brute-force Passwort erraten unmöglich. So einfach kann es sein. Kein Finger krumm gemacht.

Wie erwarte ich diese Funktion also bei QNAP umgesetzt? QNAP soll ja super einfach und anwenderfreundlich sein.

Wie würde ich sowas implementieren?
  • Standardmässig Password auth disabled
  • Falls der User Password im GUI aktiviert, eine Warnmeldung einblenden
  • eventuell sogar fail2ban erzwingen, bei Password auth
  • Von wo darf überhaupt ssh kommen? Begrenzung auf einzelne IP oder Subnet?
  • Wer wirklich Password auth ohne fail2ban nutzen möchte, soll dies in sshd_config anpassen
  • Public Key als GUI anbieten

Wie implementiert es QNAP tatsächlich?
  • Public key im GUI? Nee sorry! Geh bitte per SSH in die Shell und mach es selber!
  • Wie bitte? Du dachtest, nur weil du schon per SSH in der Shell bist und wie praktisch jedes OS die SSH Einstellungen unter /etc/ssh/sshd_config abgelegt ist, du könntest einfach unser default Wert anpassen gehen? Haha, du must noch viel lernen über unsere Software! Kannst du schon machen, aber nach jedem Reboot werden wir deine doofen Änderung mit unserem Softwaregefrickel neu überschreiben!

Und das ist nur ein Beispiel. Dazu noch ein mega simples und uraltes. Das sind die absoluten Basics. Wir reden hier nicht darüber, ob ein Auto 4 oder 5 Sterne im Crashtest hat. Wir sprechen darüber ob die Chinakiste überhaupt einen Airbag hat...

Wenn QNAP selbst an solchen absoluten Basics scheitert, wie soll es rauskommen, wenn Dinge wie UPnP im Spiel sind? Oder eine PhotoStation Website?
Wer sein geschäftliches NAS direkt im Internet erreichbar macht und kein VPN nutzt, hat eh nicht mehr alle Tassen im Schrank. Und wem selbst das VPN noch nicht reicht legt die kritischen Dienste auf einen anderen Port und deaktiviert den Standardadmin, wie es QNAP auch empfiehlt. Das reduziert das Risiko selbst bei Passwortnutzung nochmal um mind. sechs Größenordnungen.
Und wenn ich am NAS einen superkritischen Diest laufen habe, der nicht ausfallen darf, dann bekommt das NAS für Updates schlicht keinen automatischen Internetzugang, sondern man macht das manuell. Problem gelöst...
 
  • Gefällt mir
Reaktionen: locke87 und xone92
Zurück
Oben