W małej firmie IT zwykle układa się samo. Hasła leżą we wspólnym arkuszu i na karteczkach. Pliki krążą mailem, a „ostatnią wersję umowy” mają trzy osoby, każda inną. Zespół pisze w grupie na komunikatorze, do której kiedyś dodano podwykonawcę i zapomniano go usunąć. PDF-y łączy się na pierwszej lepszej stronie z wyszukiwarki, choć w pliku jest wyciąg bankowy. Za każdą usługę płaci się osobny abonament, liczony od stanowiska.

Najgorzej widać to, gdy ktoś odchodzi. Nikt nie wie dokładnie, do czego miał dostęp, a połowa firmowej korespondencji zostaje na jego telefonie.

Wszystko to można trzymać u siebie: na serwerze w biurze albo wynajętym w OVH lub Hetzner. Otwartych programów nie brakuje. Trudność nie polega na instalacji, tylko na tym, kto za rok będzie je aktualizował, backupował i odtwarzał. Tę część bierzemy na siebie.

Co wdrażamy

  • Vaultwarden — menedżer haseł zgodny z aplikacjami Bitwarden. Wspólny sejf organizacji, kolekcje według działów, logowanie dwuskładnikowe.
  • Nextcloud — pliki, kalendarze, kontakty, wspólne foldery i udostępnianie linkiem. W razie potrzeby edytor dokumentów w przeglądarce.
  • Mattermost — czat firmowy z kanałami, wątkami i wyszukiwaniem. Historia i pliki zostają na Twoim serwerze.
  • Jitsi Meet — wideorozmowy w przeglądarce. Goście nie potrzebują konta, wystarczy link.
  • DocuSeal — podpisywanie umów i protokołów przez link: szablon, pola podpisu, dziennik kto i kiedy podpisał.
  • Vikunja — zadania i projekty: listy, kanban, terminy, wspólne tablice.
  • Stirling PDF — łączenie, dzielenie, kompresja, konwersja Office do PDF, OCR skanów. Pliki nie trafiają na obce strony.
  • GitLab — dla firm z własnym developmentem: kod, CI/CD, wiki.
  • Prometheus i Grafana — monitoring wszystkiego powyżej. O zapełniającym się dysku czy niedziałającej usłudze dowiadujemy się my, a nie Twoi pracownicy.

Nie trzeba brać wszystkiego naraz. Zwykle zaczyna się od haseł i plików, a resztę dodaje, gdy zespół się przyzwyczai.

Jak to jest zbudowane

Na serwerze instalujemy Proxmox VE i rozkładamy usługi na osobne maszyny wirtualne lub kontenery. Aktualizacja jednej nie rusza pozostałych, a ciężki GitLab nie zabiera pamięci czatowi.

Dane każdej usługi leżą na osobnym dysku, nie razem z systemem. Łatwiej je backupować, powiększać i przenosić. Z przodu stoi reverse proxy z HTTPS; dla usług wewnętrznych wystarczy własne centrum certyfikacji, bez publicznej domeny.

Osobno konfigurujemy dostępy. Z zewnątrz otwarte jest tylko to, co musi, reszta jest dostępna z biura lub przez VPN. Przy wielu usługach wdrażamy jedno logowanie: pracownik ma jeden login, a odejście zamyka się jednym przyciskiem.

Kopie, z których da się odtworzyć

Kopia, której nikt nigdy nie odtwarzał, to nadzieja, a nie kopia. Dlatego:

  • codzienne kopie maszyn i danych na osobny magazyn plus kopia w innej lokalizacji;
  • dla baz danych — zrzuty, które da się podnieść niezależnie od reszty;
  • według harmonogramu odtwarzamy kopię na środowisku testowym i sprawdzamy, czy usługa wstaje, a dane są na miejscu;
  • wiesz, ile danych możesz stracić w najgorszym razie i ile potrwa odtworzenie.

Ile sprzętu potrzeba

Orientacyjnie, dla biura na 20–30 osób. Vaultwardenowi wystarczy gigabajt pamięci z dużym zapasem. Stirling PDF z OCR chce 2–4 GB. Nextcloud, Mattermost i Jitsi — po kilka gigabajtów. GitLab jest najcięższy, potrzebuje od 8 GB. Cały zestaw z monitoringiem spokojnie mieści się na jednym serwerze dedykowanym z 64 GB pamięci. Bez GitLaba wystarczy znacznie skromniejsza maszyna albo kilka VPS.

Uczciwie o ograniczeniach

  • Poczta to osobny temat. Własną pocztę też wdrażamy, ale jako osobny projekt: SPF, DKIM, DMARC, reputacja adresów, antyspam, migracja starych skrzynek. Dlatego planujemy ją oddzielnie od reszty biura, żeby nie ryzykować maili od klientów.
  • Jitsi lubi łącze. Rozmowy na 10+ osób wymagają serwera z dobrym łączem i otwartymi portami UDP. W biurze za zwykłym routerem nie zawsze się da, więc Jitsi często stawiamy na wynajętym serwerze.
  • Nextcloud to nie Google Docs. Wspólna edycja działa, ale to osobny komponent i potrzebuje zasobów.
  • Serwer w biurze zależy od biura. Prąd, internet, klimatyzacja. Jeśli z tym bywa różnie, lepszy jest serwer w centrum danych, a w biurze kopia backupów.

Co dostajesz

  • Usługi biurowe na Twoim serwerze, z HTTPS i kontami dla zespołu.
  • Dostępy administratora i hasła u Ciebie, nie tylko u nas.
  • Codzienne kopie w osobnej lokalizacji i regularnie testowane odtwarzanie.
  • Monitoring i alerty o problemach.
  • Aktualizacje usług i systemu według harmonogramu.
  • Zakładanie kont nowym pracownikom i zamykanie dostępów tym, którzy odeszli.
  • Krótką instrukcję dla zespołu i dokumentację, co gdzie stoi.

Jak instalujemy poszczególne usługi, opisujemy w serii «Офіс без адміна» na linuxway.com.ua (po ukraińsku): krok po kroku Vaultwarden i Stirling PDF, reszta w drodze.

Napisz, ile osób liczy zespół i z czego już korzystacie, a zaproponujemy, od czego zacząć.