FOG Project: come configurare 200 PC aziendali senza MDT

Quando ti arrivano 200 PC nuovi da preparare tutti uguali — stesso Windows, stessi programmi, stessa configurazione, tutti dentro il dominio — la domanda non è se automatizzare, ma come. Farlo a mano, macchina per macchina, significa settimane di lavoro ripetitivo. E ripetitivo, in informatica, di solito vuol dire che c’è uno strumento che lo fa al posto tuo.

Per anni quello strumento, in casa Microsoft, è stato MDT (Microsoft Deployment Toolkit). Comodo, gratuito, integrato. Il problema è che Microsoft l’ha di fatto messo in pensione: niente più sviluppo, niente aggiornamenti veri, e un futuro sempre più incerto su hardware e Windows recenti. Continuare a costruirci sopra un progetto nuovo non aveva molto senso. Così sono andato a cercare un’alternativa, e l’ho trovata in un progetto open source che gira da oltre dieci anni: FOG Project.

Cos’è FOG Project

FOG è un sistema di imaging e deployment di computer via rete. In parole semplici: prepari un PC fatto come vuoi tu, ne fai una «fotografia» del disco (l’immagine), e poi quella fotografia la riversi su decine di altri PC contemporaneamente. Nessuna chiavetta, nessun DVD, nessun giro macchina per macchina: tutto passa dal cavo di rete.

Gira su Linux (io ho usato una macchina virtuale con Debian), è completamente gratuito e si gestisce da una console web. Da lì registri i PC, decidi quale immagine mandargli e lanci il lavoro. Il resto lo fa la rete.

Come funziona, in tre pezzi

Il meccanismo si regge su tre concetti che vale la pena spiegare, perché sono gli stessi di qualsiasi sistema di imaging serio.

1. La golden image (il PC «d’oro»)

Prendi un computer, lo configuri esattamente come devono essere tutti gli altri: sistema operativo, browser, client gestionali, driver delle stampanti, tutto. Questo diventa il modello. Più cura ci metti qui, meno lavoro manuale ti resta dopo su ogni singola macchina.

2. Il sysprep

Non puoi copiare il PC modello così com’è: Windows assegna a ogni installazione un identificativo unico, e avere 200 macchine con lo stesso identificativo crea problemi seri sulla rete e nel dominio. Il sysprep è l’operazione Microsoft che «generalizza» l’immagine: azzera gli identificativi, toglie i dati specifici di quel PC e la rende clonabile. Da lì in poi ogni copia rinascerà con identità propria e nome proprio.

3. Il boot da rete (PXE)

Qui sta la parte più interessante. I PC moderni sanno avviarsi non solo dal disco, ma anche dalla rete: accendi la macchina, invece di partire Windows parte un piccolo ambiente scaricato al volo dal server FOG. È da lì che il PC riceve l’immagine e se la scrive sul disco. Finito il travaso, riavvia, e si ritrova Windows già pronto.

Il pezzo che cambia tutto: il multicast

Se dovessi mandare l’immagine a un PC per volta, il vantaggio sarebbe modesto. Il salto di qualità arriva con il multicast.

Immagina di dover leggere lo stesso avviso a cento persone. Puoi chiamarle una per una al telefono (unicast: lento, ripetitivo), oppure puoi radunarle in una stanza e leggerlo una volta sola per tutti (multicast). FOG fa la seconda cosa: spedisce l’immagine una volta sola sulla rete, e tutti i PC collegati la ricevono nello stesso momento. Che tu ne stia preparando cinque o cinquanta, il tempo è quasi lo stesso.

C’è una condizione: questo traffico va tenuto separato dalla rete di tutti i giorni, altrimenti rischi di intasare quella che usano i colleghi per lavorare. La soluzione pulita è una rete dedicata e isolata — un «banco» a parte, riservato solo all’imaging — così il lavoro pesante resta confinato lì e la produzione non se ne accorge nemmeno.

Le due sorprese lungo la strada

Un progetto vero non è mai liscio come il manuale, e va bene così: le insidie sono anche la parte più istruttiva. Due meritano una menzione, perché capitano a chiunque provi a fare imaging su hardware recente.

Secure Boot. È la funzione di sicurezza che impedisce al PC di avviare software non firmato. Ottima in generale, ma di default blocca l’avvio da rete di FOG. O la si disattiva sui PC da preparare, o si configura FOG per farsi riconoscere come «fidato». Una cosa da decidere prima di partire in serie, non a metà lavoro.

BitLocker. Il PC modello aveva il disco cifrato di fabbrica. FOG, giustamente, si rifiuta di fotografare un disco cifrato: verrebbe fuori un’immagine illeggibile. La regola che ne ho ricavato è netta: la cifratura si applica dopo, tramite le policy aziendali, mai dentro l’immagine. L’immagine «madre» va costruita in chiaro, e la protezione arriva quando il PC è già al suo posto sulla scrivania.

Quando conviene

FOG non è per tutti. Se devi sistemare tre computer, apri la scatola e li configuri a mano: monteresti un’infrastruttura per niente. Ma quando i numeri salgono — decine, centinaia di macchine identiche — il conto cambia radicalmente. Il tempo che investi una volta a costruire l’immagine e a mettere in piedi il sistema lo recuperi moltiplicato su ogni PC che passa dal banco.

Nel mio caso, la scelta di lasciare MDT per un progetto open source si è rivelata solida: strumento vivo, comunità attiva, nessuna licenza da comprare e il controllo completo su come vengono preparate le macchine. Per chi gestisce parchi di PC in azienda e cercava un’alternativa a MDT, FOG Project è un nome da tenere a mente.

Fausto Pitzalis

Blogger dal 2001, Nativo Digitale, Developer.
Da 15 anni mi occupo di IT per una grande Azienda.
Lavoro per abbattere il Digital Divide.
Visita i miei altri progetti
sardiniamobility.com
www.cyberness.it