JUNIPER MX CG-NAT

[xamza]

Добрый день, коллеги

Планируем перейти на NAT ввиду разросшейся сети. В планах купить MS-MIC-16G для MX 80. Есть ли у кого опыт работы с этой платой, что можете посоветовать, какие подводные камни? спасибо

[xamza]

Или может есть те, кто продать хочет ) 

[SyJet]

Все как узнают стоимость - сразу передумывают натить на Mx. Как я понял это и есть подводный камень 

[VolanD666]

А сеть на джуниперах построена, я правильно понимаю?

[xamza]

2 минуты назад, VolanD666 сказал:

А сеть на джуниперах построена, я правильно понимаю?

если вы про access , то нет, дорого же. Джуниперы в роли бордера и браса

[VolanD666]

1 минуту назад, xamza сказал:

если вы про access , то нет, дорого же. Джуниперы в роли бордера и браса

Да, я это и имел в виду :)

[lex295]

Очень дорогая плата +- 8000usd  , проще развернуть NAT на тазике скоммутировав  В коммутаторе

 

 

P.s если есть желание заменить мх80 на мх 104 в лс лежит новый их зипа 

[GrandPr1de]

12 часов назад, lex295 сказал:

Очень дорогая плата +- 8000usd

на вторичке от 1500 до 3000

13 часов назад, xamza сказал:

что можете посоветовать

задуматься над скейлом

такая плата натит в районе 6.5 гбит + 1 гбит (даунлоад\аплоад) хотя заявлено 9 гбит (полудуплекса), их никто в жизни не видел 

мх104 в этом плане прикольней потому что можно две платы поставить с лоад балансингом и получить реально двойной перфоманс

но во времена когда линукс боксы натят 10г легко покупать платы за такую стоимость - не очень умное решение

[xamza]

10 часов назад, GrandPr1de сказал:

но во времена когда линукс боксы натят 10г легко покупать платы за такую стоимость - не очень умное решение

на какой никсе и как лучше поднять такое решение ? какое серверное железо сможет переварить 10G ? спасибо 

 

10 часов назад, GrandPr1de сказал:

на вторичке от 1500 до 3000

где найти эту вторичку :)

[pingz]

@xamza У нас стоит MX80 c платной CGNAT в полной мере не использую все прописано статикой 16 клиентов на 1 белый.  

В данный момент авторизация на mikrotik(в населенном пункте).  С него льется flow. Если до 8.8.8.8 отправлено 8 пакетов микротик в flow отдает 1 сроку с указанием количеством пакетов, в то же время MX отдает 8 строк. В нашей ситуации нужно было ставить отдельный коллектор. 

Так же нужны правила для GRE пакетов. 

В целом все норм, но в данной ситуации я бы лучше смотрел в сторону Ската. Но все как обычно без меня меня женили. 

[GrandPr1de]

1 час назад, xamza сказал:

где найти эту вторичку :)

ebay

1 час назад, xamza сказал:

на какой никсе и как лучше поднять такое решение ? какое серверное железо сможет переварить 10G ? спасибо 

linux любой привычный, процы посвежее, по возможности тактовую побольше (но не обязательно если кроме NAT ничего не будет) ну и сетевки те что много очередей поддерживают

у провайдеров сложился стандарт с интеловскими сетевками 520-ыми и их аналогами на 82599 чипе, 710 чето много отзывов не хороших и нельзя (по крайней мере было нельзя, мож уже можно) сделать allow unsupported sfp

 

5 минут назад, pingz сказал:

в то же время MX отдает 8 строк

да, у них агрегация походу не работает из каробки, её возможно надо отдельно включать но нетфлоу вообще больное место для младших МХ

в своё время лил нетфлоу через RE, в итоге отказались от нетфлоу

[pingz]

@GrandPr1de 

4 минуты назад, GrandPr1de сказал:

да, у них агрегация походу не работает :(

в своё время лил нетфлоу через RE, в итоге отказались от нетфлоу

Еще на MX80 нельзя одновременно с платы натить и лить флоу. Либо то либо другое :( 

[xamza]

26 минут назад, pingz сказал:

В данный момент авторизация на mikrotik(в населенном пункте).  С него льется flow. Если до 8.8.8.8 отправлено 8 пакетов микротик в flow отдает 1 сроку с указанием количеством пакетов, в то же время MX отдает 8 строк. В нашей ситуации нужно было ставить отдельный коллектор.

извините, не совсем понял про flow. Не используем его, для чего он  ?

[lex295]

1 час назад, xamza сказал:

на какой никсе и как лучше поднять такое решение ? какое серверное железо сможет переварить 10G ? спасибо 

 

где найти эту вторичку :)

1) любой современный сервер ( по характеристикам от G8 HP)  сетевки на 520 чипе , хорактеристики можно слизать у РДП или Васэксперта 

2) Ебей , но это как подкинуть монетку , придёт не придёт , задержит таможня  не задержит , будет работать или не будет.  пиши в ЛС бюджет на карту , узнаю у коллег может есть у кого. 

[CVM]

JUNOS 15.1R6.7 built 2017-04-23 01:56:17 UTC

run show services sessions utilization

           Session  %Count  Setup   %Rate   Drop     Teardown   %CPU
Interface  Count            Rate            Rate     Rate
ms-0/2/0   702641   4.39    11217                    11472      36.04 Green

 

5 лет - полет нормальный. Jflow и nat-mapping для СОРМА льется.

 

Ищу Junos посвежее кто может помочь например jinstall-ppc-16.1-Rxx-domestic-signed.tgz

нужен функционал Captive Portal чтобы работал.

 

[GrandPr1de]

17 минут назад, CVM сказал:

Jflow и nat-mapping для СОРМА льется

и делаете вы это на RE а не на сервисной плате

17 минут назад, CVM сказал:

Ищу Junos посвежее

не рекомендую для младших коробок, разве что сразу на последний 18.4

[CVM]

service-set FNFLOWS {
    jflow-rules {
        sampling;
    }
    sampling-service {
        service-interface ms-0/2/0.0;
    }
}

Interface   Service Set(or system category)                        Utilization
ms-0/2/0    BRAS-NAT                                                   19.70 %
ms-0/2/0    FNFLOWS                                                     4.01 %

НАТ flow через сервис

без нат через RE

 

а последний как раздобыть ?

[xamza]

1 час назад, CVM сказал:

а последний как раздобыть

написал в личку, ответьте, пож-та

[pingz]

@xamza Логов так меньше выходит. Чтобы надзорным органам сообщить, кто написал в интернете "Путин лучший президент"

[xamza]

11 минут назад, pingz сказал:

Логов так меньше выходит. Чтобы надзорным органам сообщить, кто написал в интернете "Путин лучший президент"

просто непонятна схема для СОРМА если используется нат, получается надо лить кроме трафика еще и netflow  ? есть какие то доки ? спасибо

[SyJet]

1 час назад, xamza сказал:

просто непонятна схема для СОРМА если используется нат, получается надо лить кроме трафика еще и netflow  ? есть какие то доки ? спасибо

Конечно необходим 

[pingz]

@xamza я сливаю трафик до Ната в сорм. Я не вникал во всю схему, админит биллинг другой человек, как я понял подключен "пульт" и они сами видят, какой клиент. Могу уточнить. 

[Sylvestr]

Добрый день

Кто то мог би помочь конфигом NAT на етой плате. А то шо то никак завести не могу(