artplanet Posted January 6, 2017 Кто из местных знает свитч 1U - чтобы у него было: 1. 48 портов 10/100/1000 2. 2 или больше портов 10Ge 3. Был полноценный netflow 4. Высота была 1U 5. Была поддержка BGP/OSPF - маршрутов от 1024 6. Аппаратная поддержка ipv6 Пока что знаем только одну серию - это Cisco 3560X/3750X с модулем C3KX-SM-10G Кто что еще посоветует? желательно точную модель с ценником. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
Дятел Posted January 6, 2017 Что-то в netflow я не верю... Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
s.lobanov Posted January 6, 2017 Что-то в netflow я не верю... плюсую. Для полноценного netflow приходится извращаться путём зеркалирования трафика на x86-сервера и генерации netflow на них. Если netflow работает на свитчах с asic-ами и "дохлым" CPU, то оно либо сэмплировано, либо количество flows ограничено tcam-ом, ну т.е. full netflow работает пока на вас не устроят ddos с рандомными src/dst Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
andryas Posted January 6, 2017 Cisco 3560X Имеется такой на хозяйстве с 10 гиговым модулем. Что могу хорошего рассказать... Экономный, тихий, с производительностью портов вроде как нормально, работает стабильно и даже не виснет :) Из недостатков - ну очень слабый процессор control plane. SFP надо шить с разными серийниками, иначе тушит модуль. Блок питания сильно умный, 50+-2 герц ему подавай, чуть что не так (генератор) - работать не будет. В остальном - обычная бюджетная циска. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
Дятел Posted January 6, 2017 Дело не в конкретной модели, а в запросе на "полноценный netflow"... Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
artplanet Posted January 6, 2017 Дело не в конкретной модели, а в запросе на "полноценный netflow"... ну так в гугле почитайте = C3KX-SM-10G - добавляет полный netflow Cisco Catalyst 3K-X Service Module: Enabling Flexible NetFlow in the Access http://www.cisco.com/c/en/us/products/collateral/switches/catalyst-3750-x-series-switches/white_paper_c11-691508.html на сервисном модуле стоит полноценный проц с полноценной обработкой netflow Если netflow работает на свитчах с asic-ами и "дохлым" CPU, то оно либо сэмплировано, либо количество flows ограничено tcam-ом, ну т.е. full netflow работает пока на вас не устроят ddos с рандомными src/dst в том то и дело что мы такие железки планируем поставить в стойку - где уже стоят сервера клиентов. А это уже после системы защиты от ддос атак. Так что ддосов там не будет. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
andryas Posted January 6, 2017 на сервисном модуле стоит полноценный проц с полноценной обработкой netflow И ему надо влить софт. Что, в принципе, не проблема, главное не забыть при апдейте. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
s.lobanov Posted January 6, 2017 ну так в гугле почитайте = C3KX-SM-10G - добавляет полный netflow Cisco Catalyst 3K-X Service Module: Enabling Flexible NetFlow in the Access http://www.cisco.com...c11-691508.html на сервисном модуле стоит полноценный проц с полноценной обработкой netflow Ну вот там же и написано The service module ASIC is the Flexible NetFlow engine performing traffic analysis for each flow monitor. Statistics reside in the ASIC cache, which can store a total number of 32K flows shared across flow monitors. Т.е. это "полноценный" netflow всего на 32К потока, в самом деле меньше за счёт того что там хеш-таблицы. Я хз много или мало это для вас. Если для вас это нормально, то ок. Если же у вас больше 20-30К flows единовременно, а нужен честный netflow, то не подходит Просто не очень понятно зачем вам нужен netflow на нём, если ddos-защита уже перед этим свитчом есть Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
artplanet Posted January 6, 2017 там трафик будет сниматься с 40 серверов - каждый из которых генерирует 10-15 мегабит. Стойка обычно потребляет 200-300 мегабит. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
artplanet Posted January 6, 2017 Просто не очень понятно зачем вам нужен netflow на нём, если ddos-защита уже перед этим свитчом есть как и писалось в другой теме - чтобы ловить клиентов которые с наших серверов ддосят наши же сервера. В этом случае трафик у нас ходит на прямую и не проходит 65ку на которой снимается нетфлоу. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
Дятел Posted January 6, 2017 У нас с вами разные понятия полноценности )) Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
artplanet Posted January 6, 2017 Вопрос такой - есть что то - что может сделать это лучше в 1U исполнении с нужным количеством портов ? Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
s.lobanov Posted January 6, 2017 там трафик будет сниматься с 40 серверов - каждый из которых генерирует 10-15 мегабит. Стойка обычно потребляет 200-300 мегабит. да это вообще пофиг, лимит на кол-во flows я написал выше, вам лучше знать это нормально или нет. Даже с одного IP-адреса его легко переполнить, тупо устроив атаку с разными src/dst-портами на ip-адрес соседа Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
artplanet Posted January 6, 2017 (edited) разные src не сработают - у нас стоят ACL на каждом клиентском порту - который запрещает подмену SRC ip - так что будет просто много разный SRC портов и DST портов жертвы. Переполнение да - может быть. Поэтому и спрашиваю - какие другие модели умеют netflow лучше - чем вариант 3560x/3750x Edited January 6, 2017 by artplanet Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
GrandPr1de Posted January 6, 2017 ИМХО нетфлоу всё таки фича роутеров, тех где жирнющий ткам посмотрите на старшие линейки экстримов, у них вроде ткама на свичах немеряно (как для свичей) Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
vlad11 Posted January 7, 2017 Я бы брал коммутатор L2, L2+ с поддержкой 1,2,4,6 пункта Но судя по всему, вам еще на коммутаторе понадобится VRRP, DSCP и порт мирроринг(у многих вендоров он называется по своему). Еще возможно потребуется Q-in-Q. А 3,5 пункт завел бы на сервере. Схема - "router on a stick" Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
SyJet Posted January 7, 2017 Cisco 4948e - самое оно Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
artplanet Posted January 7, 2017 (edited) Cisco 4948e - самое оно не умеет оно netflow - только netflow-lite - а это все равно что sflow. Стоят у нас такие в бою По поводу netflow на сервере - у нас сейчас чистого трафика 3Mpps примерно - не осилят линуксы даже с нормальной intel сетевухой. (стоит у нас сервер с fastnetmoon - так он видет 30-40% реального трафика - хотя в него выливают через порт мирриринг весь трафик) Edited January 7, 2017 by artplanet Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
NiTr0 Posted January 7, 2017 По поводу netflow на сервере - у нас сейчас чистого трафика 3Mpps примерно - не осилят линуксы даже с нормальной intel сетевухой. думается осилят, если ядерный модуль. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
s.lobanov Posted January 7, 2017 Еще возможно потребуется Q-in-Q. откуда такая идея вообще возникла? ТС же не оператор и каналами вроде как не барыжит Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
s.lobanov Posted January 7, 2017 Cisco 4948e - самое оно не умеет оно netflow - только netflow-lite - а это все равно что sflow. Стоят у нас такие в бою По поводу netflow на сервере - у нас сейчас чистого трафика 3Mpps примерно - не осилят линуксы даже с нормальной intel сетевухой. (стоит у нас сервер с fastnetmoon - так он видет 30-40% реального трафика - хотя в него выливают через порт мирриринг весь трафик) А тут начинается стандартная история в обработке трафика на x86. либо пользуете opensource/дешевые поделки, но медленно (т.е. ставите несколько серверов под сенсоры и балансируете через зеркало/no-mac-learn в static lag), либо пользуете коммерческий продукт, в вашем случае это будет http://www.ntop.org/products/netflow/nprobe/ , он как раз даёт 3Mpps per-core на 64-байтных пакетах, у вас всё-таки думаю больше средний размер пакета Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
vlad11 Posted January 7, 2017 По поводу netflow на сервере - у нас сейчас чистого трафика 3Mpps примерно - не осилят линуксы даже с нормальной intel сетевухой. (стоит у нас сервер с fastnetmoon - так он видет 30-40% реального трафика - хотя в него выливают через порт мирриринг весь трафик) Графики нагрузки с аплинков и на порты с миррорингом совпадают? FreeBSD 11.0, нормальная сетевая, возможно, еще netmap придется прикрутить. Еще на скорости дисков можете затыкаться. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
