Veiliger en sneller?

Met de gebruikelijke poeha heeft Microsoft eind april de nieuwste telg in de Windows serverfamilie geïntroduceerd: Windows Server 2003. DiskIdee vergeleek de hype met de werkelijkheid.

Microsoft doet het lang niet zo goed op de servermarkt als het zou willen. Veel daarvan heeft te maken met de lange lijst beveiligingsproblemen in Windows 2000 servers. Bovendien waren de
klanten ook niet erg gelukkig met de gedwongen overstap naar Licensing V6, die er vaak op neerkwam dat ze meer moesten betalen voor het gebruik van Windows. Het gevolg was dan ook, dat Microsoft met
lede ogen zag hoe meer en meer al dan niet potentiële klanten naar Linux migreerden. Windows Server 2003 moet die neerwaartse trend een halt toeroepen. Microsoft beweert immers dat het niet zomaar
nieuwe dingen heeft zitten toevoegen, maar bij de ontwikkeling van Windows Server 2003 de allerhoogste prioriteit hebben toegekend aan de beveiliging. Het ontwikkelingsteam kreeg dus de opdracht te
vertrekken van Windows 2000 en te zorgen dat alle veiligheidslekken gedicht zouden zijn vooraleer er nieuwe dingen ingevoegd zouden worden. Het resultaat van al dit noeste werk is Windows Server 2003
geworden. Microsoft heeft voor dit serverproduct niet voor de XP-benaming gekozen omdat deze server niet op de XP-kern gebaseerd is maar op die van 2000.

Uitvoeringen
Net zoals vroeger kunt u verschillende serveruitvoeringen krijgen naargelang uw behoeften, maar Microsoft heeft zowel de benamingen als de indelingen veranderd. Zo is er bijvoorbeeld geen ‘Advanced
Server’ meer. Microsoft heeft alles nu samengebald in vier uitvoeringen. Onderaan de trap staat de ‘Standard’-uitvoering. Die is bedoeld voor servers met hooguit twee processoren en tot 4 GB RAM en
wordt met vijf clientlicenties geleverd. Heeft u meer capaciteit nodig, dan biedt de ‘Enterprise’-uitvoering u tot vier processoren en tot 32 GB RAM. U krijgt er 25 clientlicenties bij. Voor de echt
zware arbeid is er de ‘Datacenter’-uitvoering met maximaal 32 processoren en 64 GB RAM. De vierde editie is speciaal bedoeld voor webhosting: als u de server alleen maar als webserver wil gebruiken,
dan koopt u het best de ‘Web Edition’: die ondersteunt maximaal 2 processoren en 2 GB RAM. Binnenkort komen nog meer afgeleide uitvoeringen beschikbaar, zoals de Windows Storage Server 2003 (speciaal
voor fileservertoepassingen) en Windows ISA Server 2003 (ISA = Internet Security and Acceleration ofwel Microsoft firewall- en proxyfunctionaliteit).

Doelstellingen
Microsoft had twee voorname doelstellingen bij de introductie van deze nieuwe serversoftware:

1) Windows 2003 moet veilig zijn;
2) Windows 2003 moet minstens tweemaal zo goed presteren als Windows 2000.

è Lees verder op de volgende pagina (gebruik de navigatieknopjes rechts boven- of onderaan).

Op de beveiliging komen we zodadelijk terug. Microsoft had bij het minstens "tweemaal zo goed presteren" vooral de netwerkprestaties in gedachten. Netwerkprestaties komen vooral tot uiting bij
fileserveropdrachten en ook bij internetdiensten zoals webservers. Windows 2003 ondersteunt ‘network load balancing’ om het werk over meerdere servers in een cluster te verdelen. Net zoals bij XP kunt
u echter ook meerdere netwerkadapters samennemen in een netwerkbrug. Net zoals bij Windows 2000 kunnen sommige netwerkadapters onderling aan lastenverdeling doen (bijvoorbeeld twee Intel of twee 3Com
adapters). De netwerkbrug is echter iets nieuws.

Ook de ingebouwde firewall voor internetverbindingen is overgenomen van XP, maar net zoals bij XP kunt u hier alleen binnenkomende verbindingen blokkeren maar geen uitgaande. U kunt dus wel een
paar blokkades opbouwen voor hackers, maar niet voor trojans en spyware.

Beveiliging
Met de in de inleiding vermelde beveiliging van de Windows kerncode zit het nog niet helemaal snor. Midden juli werd een fundamenteel lek ontdekt in een stukje code dat al sinds NT 4.0 in de kern van
Windows zit (specifiek in de RPC-code). Ook gebruikers van Windows Server 2003 dienden een patch te installeren (voor meer informatie: Microsoft supportbulletin nr. 823980).
Microsoft heeft een lange weg afgelegd, en met veel vallen en opstaan eindelijk zijn les geleerd. Windows servers werden traditioneel volledig ‘open’ afgeleverd: alle functies stonden geïnstalleerd
maar ook geactiveerd. Dat was makkelijk voor de gebruiker, maar het bleek al gauw het aards paradijs voor hackers. Positief is in elk geval dat Windows 2003 de eerste Microsoft-server is die volledig
dichtgetimmerd afgeleverd wordt. Geen enkele dienst is actief, en u moet zelf opgeven welke diensten u wil laten draaien en wie daar toegang toe heeft. Als u dus bijvoorbeeld RPC niet inschakelde dan
kon uw server niet geëxploiteerd worden door het hoger vermelde lek, dat immers gebruik maakt van TCP/IP poort 135.
Omdat met de relatief lage hardwareprijzen van tegenwoordig veel bedrijven toch al als regel ‘één dienst per server’ hanteren, is zo’n dichtgetimmerde Windows eigenlijk een beter startpunt. Nadeel is
dat, als u een hele waslijst diensten draait, Windows 2003 een heel pak meer werk met zich meebrengt om dat allemaal terug te activeren. Daar kunnen we maar één ding op zeggen: T.A.N.S.T.A.A.F.L.! (There
Ain’t No Such Thing As A Free Lunch of voor niets gaat alleen de zon op).

è Lees verder op de volgende pagina (gebruik de navigatieknopjes rechts boven- of onderaan).


Nieuwigheden
Ondanks de nadruk op beveiliging heeft Windows 2003 toch wel wat
nieuwigheden aan boord. Active Directory is toegankelijker en gebruiksvriendelijker gemaakt. U kunt veel gemakkelijker dan vroeger migreren van klassieke Windows domeinen naar AD. In Windows 2003 zit
een nieuwe versie van Internet Information Server of kortweg IIS: versie 6 is volgens Microsoft sneller, stabieler, schaalbaarder en veel veiliger. Als u Windows als fileserver gebruikt, is VSS
(Volume Shadow Copy) een niet te versmaden nieuwigheid. U kunt het zien als een soort vuilnisbaksysteem, maar dan niet op uw desktop maar ingebouwd in het bestandssysteem van de server. Met VSS kunt u
een percentage van uw opslagcapaciteit reserveren als ‘schaduwruimte’: het systeem zal alle gewiste en tijdelijke bestanden daarheen verhuizen in plaats van ze zoals vroeger onmiddellijk effectief te
verwijderen. Op deze manier kunt u per ongeluk gewiste of verminkte bestanden terughalen uit deze schaduwruimte zonder dat u gebruik moeten maken van back-uptapes of dergelijke. Netwerkclients hebben
speciale software nodig als ze een bestand uit die schaduwruimte willen redden: die wordt niet meegeleverd met de Windows 2003 server, maar deze clientsoftware kan wel gedownload worden van de website
van Microsoft. Helaas werkt deze clientsoftware alleen maar op Windows 2000 vanaf ServicePack 3 of Windows XP, geen enkel ander platform wordt ondersteund. Een ander zwak punt van VSS is dat de
schaduwkopie maar op vooraf ingestelde tijdstippen gebeurt en dus niet volautomatisch bij iedere bestandswijziging of -wissing. Zo kunt u toch nog per ongeluk een bestand effectief wissen, als dat
bestand aangemaakt was na het laatste schaduwtijdstip. In verband met back-uppen is het kopiëren van open bestanden nu standaard mogelijk met Windows 2003.

Nadelen
Voor beheerders zijn er ook een paar nadelen aan Windows Server 2003: het beheer is moeilijker omdat u voortdurend rekening moet houden met allerlei beveiligingsaspecten die er vroeger gewoon niet
waren. Op dit moment wordt er ook nog geen Exchange Server ondersteund: Windows 2003 werkt immers alleen samen met Exchange 2003 en die is er nog niet. Voer dus zeker geen upgrade uit van systemen
waarop Exchange 5.5 of 2000 draait, want die zal na de upgrade niet meer werken! SQL Server kan ook een probleem vormen, tenzij u SQL Server 2000 met SP3 heeft draaien.

è Lees verder op de volgende pagina (gebruik de navigatieknopjes rechts boven- of onderaan).


Installatie
Voor onze test besloten we een bestaande Windows 2000 Advanced Server te
upgraden naar Windows Enterprise Server 2003. Dat bleek reuze goed mee te vallen. De installatieprocedure van 2003 geeft u immers de mogelijkheid om een compatibiliteitsonderzoek uit te voeren voordat
er ook maar iets geïnstalleerd wordt. Aan de hand van dit onderzoek kunt u zien welke mogelijke problemen u kunt verwachten, waar u op moet letten en welke software u eventueel beter op voorhand even
uitschakelt.
De installatieprocedure raadt u ook aan, het IIS Lockdown Tool van de website van Microsoft te downloaden en uit te voeren. Dat kunnen we u ook aanbevelen: het maakt alle nodeloos openstaande deuren
in IIS dicht en laat uw webserver zo heel wat veiliger achter dan voorheen. Zonder deze ‘lockdown’ zou de Windows 2003 installatie uw IIS helemaal blokkeren en zou uw website helemaal niet meer
werken. Door de lockdown eerst uit te voeren, neemt Windows 2003 gewoon al die instellingen over.
U houdt wel best in de gaten dat alles wat samenhangt met Office, Outlook of Exchange uitgeschakeld wordt. Zo ook de faxdiensten. Als uw Windows 2000 server nu als faxserver dienst doet, wacht u dus
beter even met de upgrade naar Windows 2003.
Bij het tot een brug combineren van twee Ethernetadapters stelden we vast, dat de brug geen netwerkverbindingen kon opbouwen totdat we de computer herstart hadden. Nochtans werd bij het aanmaken van
de brug met geen woord gerept over een noodzakelijke systeemherstart: hebben we hier een bug te pakken? Toen we die systeemherstart wilden doen, keken we tegen een gewijzigd afsluitscherm aan: Windows
2003 vraagt u nu een reden in te tikken voor het afsluiten (shutdown) van het systeem en zolang u die reden niet ingetikt heeft is de OK-knop uitgegrijsd! De informatie die u intikt, wordt opgenomen
in de logs.

Onze Windows 2000 server nam voor de upgrade exact 2,67 GB in beslag. Na de upgrade naar Windows Enterprise Server 2003 zaten we aan 3,2 GB. Windows 2003 heeft dus ruim 20% meer systeemschijfruimte
nodig dan Windows 2000.

è Lees verder op de volgende pagina (gebruik de navigatieknopjes rechts boven- of onderaan).


Prestatiemeting
Wij wilden al die hype wel eens aan de werkelijkheid toetsen. Bijgevolg hebben we op eenzelfde hardware zowel Windows 2000 Advanced Server als Windows Enterprise Server 2003 als SuSE Linux Server
geïnstalleerd en daarop telkens een aantal benchmarks losgelaten om de servers te testen als fileserver en als webserver. We kozen NetBench 7.0.3
en WebBench 5.0.
Hieruit leren we dat hoewel Windows 2003 door de band genomen net iets sneller is dan Windows 2000, er zeker geen sprake is van de dubbele snelheid. Bovendien blijkt Windows 2000 zelfs drastisch
sneller te zijn als twee netwerkkaarten met lastenverdeling toegepast worden. We leren ook dat de webserverprestaties drastisch de hoogte in gaan door IIS te vervangen door Apache. Niets blijkt echter
te kunnen tippen aan Apache onder Linux: dat is zo snel, dat het alle Windows-oplossingen mijlenver achter zich laat.
Volgens onze testen blijkt Windows Server 2003 zelfs de duimen te moeten leggen voor SuSE Linux Server als fileserver, al moeten we hierbij wel opmerken dat serieuze gebruikers van Linux en Unix
doorgaans geen SAMBA gebruiken om aan filesharing te doen op de Windows-manier, maar dat doen via de Unix-methode met NFS. We hebben echter geen benchmark met NFS uitgevoerd en kunnen dus niet zeggen
of Linux hiermee inderdaad nóg sneller is. We vermoeden echter van wel.
In de tabellen bij dit artikel hebben we alle metingen voor een bepaald serverplatform samengenomen in een gemiddelde fileserverprestatie en een gemiddelde webserverprestatie. Voor de
fileserverprestaties hebben we dus metingen verricht met één netwerkkaart, met twee netwerkkaarten en lastenverdeling geactiveerd en twee netwerkkaarten in een netwerkbrug geconfigureerd. Voor de
webserverprestaties deden we dat ook, en probeerden we onder Windows zowel IIS als Apache uit. Onder Linux hebben we maar met één netwerkkaart gewerkt en alleen maar met de meegeleverde Apache.

Tabel 1: Webserver testresultaten

eTesting Labs Inc.’s WebBench(R) version 5.0 with the standard test suite lightly modified by DTL for client numbers in multiples of four

Tabel 2: Fileserver testresultaten

eTesting Labs Inc.’s NetBench(R) version 7.0.3 with the standard test suite DM_NB703.TST lightly modified by DTL for client numbers in multiples of four

Tabel 3: Algemene prestatiescores