Как я базы 1С в Германии прятал

причем здесь мифы?
есть решение, хочется узнать всесторонние подробности. Простое любопытство.

Спасибо за совет, действительно — стало намного лучше (до почти предела офисного канала 30 м/бит). Странно, что тормоза остались — на глаз заметно, но проблему не решает… Осталось так попробовать — зажать где-то на близком сервере сетевую до 10м/бит и посмотреть результат… Микротики с модулем конечно…

Базу по сети гоняем. Понятно что мало — не понятно почему… Медленная работа она выражается в не том, что отчеты долго формируются или какие-то большие выборки передаются, а в банальном открытии формы. Т.е. выглядит это так — тык на документ, 2-3 сек паузы, Открывается форма документа с пустыми табличными частями, 1-2 сек пауза — заполняются табличные части. Ок, может быть там последовательные запросы, вопрос-ответ и т.д., но почему когда в базу удаленно заходим конфигуратором, когда просто читается конфигурация, утилизация канала 1 процент. Где 10 м/бит?

Тут вопрос частности. Это к вам такие специалисты приходили. Я работал с другими, особенно хорошее мнение сложилось о сотрудниках ФСБ, курирующих защищенную часть сети.

Почему вы думаете, что оперативники будут умнее, особенно если учитывать, что зарплаты ИТшников не в органах намного выше, и хорошие спецы идут в другие организации?
Я меньше года назад пережил маски-шоу в своей компании. Я ещё долго буду вспоминать бригаду полицейских ИТ-специалистов. Один из них сел за мой компьютер, и глядя на приглашение ввода пароля, изрёк: «У них все компьютеры соединены в одну сеть, как у нас. База может быть где угодно!»
А вы говорите, не тупые.

Частности. Везде частности. К сожалению, большинство случаев с изыманием техники это когда приезжают с деструктивной целью остановить процессы. Почти всегда это делается конечными исполнителями на от##ись. Изъяли, но не нашли, не обнаружили, руководству доложили и все. Без заморочек. Месяц постояло это в углу, потом вернули.
Однако у каждого такого подразделения, есть связи с тем или иным аутсорсером, который предоставляет экспертизу, это афишируется почти никогда. Когда реально нужно найти — их приглашают осмотреть и сделать заключение. Если те находят малейшие намеки на удаленные сервисы или то что нужно, то все сотрудники организации берутся в разработку, и как следствие так или иначе находят.
Стоит одному сказать, что база где то там и кто именно в реальности ИТшник, то ИТшник тут же попадает в такие клещи, что через некоторое время нервы кончаются и приоритет ценностей меняется. Свой попец всегда дороже и присесть вместо своего работодателя никто не хочет. Причем причиной могут быть не только «рабочие» вопросы, обыск дома по доносу от бабушки живущей через два дома вполне себе причина. Был бы человек в разработке, а статья найдется.

Сняли у нас винты в бухгалтерии, забрали тестовый сервер. Через месяц вернули, в той же упаковке. Т.е. даже не притрагивались. И что бы мы месяц делали, не будь у нас продакшена на серверах за границей?

А если бы у вас пожар был бы?
Или сервер сдох бы, а место на бэкапном томе закончилось в прошлом месяце?
Или RAID-контроллер сдох бы, а заказывать такую модель нужно и ждать его неделю?
;)

Маски-шоу вот ничем не отличается от других сбоев.
И методы защиты — все те же.
Второй сервер в другом месте, репликация, свежие бэкапы и т.п.

P.S.:
Выход из строя серверов (настоящее серверное железо, как положено) в моей практики встречался куда как чаще, чем маски-шоу.
И RAID-массивы разваливались и вирусы-шифровальщики встречались и пр.
А маски-шоу — на фоне этого большая редкость.

В том, что этим другим надо платить как минимум «чёрным налом», и иметь какие-то гарантии, что их с такой стрёмной деятельностью не накроют ещё раньше, чем вас

Не выдумывайте ерунды.
Уж на аренду-то черного нала найти несложно.
Хоть из белой зарплаты директора, когда он её на руки получил.

Что значит «настолько рисковым»? Это касается любого бизнеса, даже с абсолютно белой и чистой деятельностью. Проверять законность вашей деятельности контролирующие органы будут после конфискации оборудования, а не до неё. А вам, если вы бизнесмен, нужно предотвращать простой предприятия, а не устранять его последствия.

Вы нам из каких годов пишете, из какой страны пишете?

Прежде всего начинают проверку с вежливого запрашивания бумажных документов.
В серьезных случаях — возможен приход маски-шоу с изъятием бумажных же документов.
Содержимое серверов — если конечно вы не порнобизнесом занимаетесь — не являются доказательствами.

Посему изъятие серверов в РФ в последние годы делают крайне редко…

Что значит «настолько рисковым»? Это касается любого бизнеса, даже с абсолютно белой и чистой деятельностью

Пожар, выход из строя железа сервера — относятся к ровно таким же проблемам.
И меры противодействия — примерно одинаковы — второй сервер на другой площадке, репликация, бэкапы.

То, что вы назвали — это уже экономические преступления, а не оптимизация налогов. Это немного несравнимые вещи с арендой серверов в Германии.

Отнюдь.
Если у меня 2 вида покупателей — с НДС и без НДС, то, вполне возможно, что мне удобнее иметь 2 разных юр. лица. С НДС же и без НДС.
И это законно.
Незаконно с этим перебарщивать.

а) Пароль к хостингу можно десять раз поменять, в отличие от ключей к компьютеру, который лежит опечатанный на полицейском складе.

Да напротив же.
Уничтожение ключей даже интернета не требует.
Это намного надежнее.

б) Любые данные с хостинга можно удалить, или вообще временно погасить удаленные серверы.

Современные методы шифрования таковы, что можно ничего не удалять — все равно вскроют через пару тысяч лет, когда лично вас это интересовать не будет.

Про «временно погасить»:

По этому поводу есть одна байка:
Как замурованный в стену сервер работал десятилетия…
;)

Для погашенного сервера остаются ярлыки, история подключений (в зависимости от типа подключения) и т.п. на клиентских компьютерах. После чего я бы начал с пристрастием задавать вопросы админу — а что это за странные IP-адреса.

Да и постоянный трафик на сервера за границу можно легко отследить.

в) Наконец, о существовании какого-то хостинга с бизнесовыми базами данных вообще можно не рассказывать.

Пока вас не начали спрашивать с пристрастием.
На самом деле — слабое место в любой системе защиты — это люди.

Но вам даже в голову не пришло, что можно поставить сервер-болванку для отвода глаз, и даже скопировать туда копию «белой» 1С-бухгалтерии, это простое и копеечное решение.

Обижаете. Это общеизвестный метод. Известный, думаю, и проверяющим.

Я даже знаю почему это не прокатывает. Проходили на практике. На актуализацию болванки очень быстро забивают. И когда приходит проверка, а вы демонстрируете «белую базу» полугодовой давности (при том, что работаете ежедневно).

А вы говорите, не тупые.
Сняли у нас винты в бухгалтерии, забрали тестовый сервер. Через месяц вернули, в той же упаковке. Т.е. даже не притрагивались. И что бы мы месяц делали, не будь у нас продакшена на серверах за границей?

У вас никто ничего не искал.
Это было «для галочки».
По настоящему ищут они по другому — повторюсь, просто разговаривают с пристрастием с админом, гл. бухом, зам. диром — всеми теми, кто может быть в курсе, но не является собственником.

И что бы мы месяц делали, не будь у нас продакшена на серверах за границей?

Вы уж извините, но… поскольку вы были настолько готовы, то не все чисто у вас.
Ну или явно это не РФ.
ОБЭПу по башке настучало правительство еще несколько лет назад — и все притихло. В РФ в последние годы нужно очень постараться, чтобы попасть на изъятие серверов (если речь идет о бухгалтерии).
Изымают прежде всего бумажные документы — так как именно они и являются доказательствами.

а) Пароль к хостингу можно десять раз поменять, в отличие от ключей к компьютеру, который лежит опечатанный на полицейском складе.

Что????????????????
А что они там делают?
Кто хранит ключ рядом с самими зашифрованными данными?

«дистанционно разделять сервера» — это территориально разнесённые площадки и означает, что клиент подключается к службам на разных серверах, тогда нет речи о сохранении соединения!
Если эти две площадки соединены линком, всё равно можно сделать один VPN-концентратор.

И всё же, IMHO нет проблем одну площадку подключить к разным операторам (каналам). У клиента тоже может быть несколько каналов, например, наземный и мобильный(е).

Если требуется сделать разные VPN-концентраторы для доступа к одному серверу, это тоже решается, но сильно костыльно:
— настраиваем у каждого VPN-концентратора так, что при задержках или пропадании связи с клиентом и/или падении канала файрвол блокировал ICMP с информацией о падении канала
— при подключении клиента на сервере изменяем маршрут к нему на ныне актуальный
— при отсутствии повторного подключения клиента в разумный срок генерируем пакет обрыва соединения TCP в сторону сервера.
IMHO проще настроить OpenVPN на самом сервере. Hint: OpenVPN нормально проходит через любое количество NAT.

но логично что альтернатива — каждый сервер, должен быть отдельно быть подключен в общую сеть, а шлюз выхода либо один из них либо меняется но уже влияя на соединения клиентов.

??? Не вижу логики.
Если серверы не связаны между собой сиречь независимы, это совсем другой случай.
Если серверы связаны, топологически нет никакой разницы, где они расположены территориально. Пока между ними работает связь, они могут быть хоть в одной стойке, хоть на разных континентах.