Посоветуйте конфигурацию сети и сетевого оборудования для развесистого корпората.

[slammer]

Посоветуйте конфигурацию сети и сетевого оборудования для развесистого корпората.

 

 

Бордер: Имеется три провайдера. Суммарная емкость каналов порядка 100М, перспектива - до 300. Необходимо чтобы бордер умел BGP, OSPF и source-routing. Кроме каналов, есть еще ~150 ipsec VPN, с перспективой увеличения до 300. Все одновременно не работают конечно, но суммарный дневной трафик около 40М с перспективой до 100. Сейчас их тянут три выделенных unix-гейта и пикс, тянут хорошо, но все это ужасно сложно администрировать и траблшутить, учитывая перекрытие сетей по адресам, решающееся гроздьями хитрых натов, и требования безопасности, кое-как удовлетворяемые длинными firewall-скриптами, а также форвардами через нат в нужный порт. Надо обеспечить нормальную работу и переключение тоннелей при падении любого vpn-шлюза, и (или) бордера. Имеется с десяток бранчей, (зарубежных в основном) очень чувствительных к падениям vpn. Надо учитывать наличие у каждого из них двух провайдеров, и обеспечить автоматическое переключение их линков. Шлюзы на бранчах - cisco, unix. Все бранчи общаются друг с другом через центр. Время реакции на отказ – единицы минут.

 

ВПНы надо (или нуевонафиг???) привести в ядро сети, где и разроутить по нужным vlan, числом около 30, с перспективой 50-100. Сеть около 700 портов на 3COM 3226, 4500, 4200G, собрано кольцо между транковыми свичами (RSTP). Пока в ядре unix-машина, хочется железку с резервированием…

 

Бюджет:

Денег мало, но тонн 20-30 зелени на это дадут =) так что, наверное, б/у Cisco?

Edited January 19, 2008 by slammer

[jab]

так что, наверное, б/у Cisco?

Нет, это б/у админ. Причем чем больше б/у - тем лучше.

[zadrovets]

возьмите нормального админа, т.к. то что вы описали легко делается на одном компутере, а не на трех и пиксе.

[slammer]

так что, наверное, б/у Cisco?

Нет, это б/у админ. Причем чем больше б/у - тем лучше.

Шутку понял, да. Существующий б/у админ умеет все это расширять и траблшутить, что и позволяет мне спрашивать совета на форумах, не особенно торопясь. With all do respect, но нельзя ли

ближе к делу? Или задача сформулирована неверно?

 

 

2zadrovets: У меня нет задачи снизить затраты, тут надо сделать надежно, красиво, и резерв на будущее обеспечить.

[jab]

Если бы умел - не было бы вопросов.

[Алексей Андриянов]

Я думаю, нужно оставаться на писюках и планомерно оптимизировать сеть, менять адресацию, сокращать количество серверов, упрощать схему на предмет более легкого администрирования.

 

300М - это не тот объем, чтобы из-за него ставить аппаратный маршрутизатор, а такой гибкости как на писюке вы нигде не найдете.

 

Представьте для начала, как вы будете переезжать на cisco. Деньги и время на ветер.

[jab]

Зато под перезд на cisco можно и откатик сообразить. И потом - курсы,

семинары, коммандировочные, представительские.

[grama]

ИМХО Вечный поиск утомляет. У нас ,например, основное большинство задач крутитится на линюхе на SUN&HP и системный математик программист от БОГА. Но я никогда не забуду его неподдельного восхищения включения PPPoE авторизации для всех VLAN на 7206VXR-NPE-G2 одной командой ;) Я даже под это дело сразу между двумя стойками SC-SC прокинул и SFP вкорячил :lol:

Edited January 19, 2008 by grama

[jab]

А что, на писюке сравнимой цены с 7206VXR-NPE-G2

две команды нужно ?

[grama]

:lol: Я лично не знаю, напильник я :lol: Но степень унификации на стандартном оборудовании с внятными описаниями, порой важнее рекордов дешивизна/производительность.

Edited January 19, 2008 by grama

[slammer]

Вопрос пошел в философию =)

 

Недавно на одном из vpn-гейтов что-то переклинило в перловом скриптике, снимавшем статистику, LA дошел до 140, в ядре что-то переклинило, даже после убивания скрипта трафик не ходил.

Ребут, rc.conf не соответствует тому что наконфигурено вручную - остались лежать три десятка VPN...

 

Бардак? Бардак. И все-таки мне кажется, что лучше сделать систему, не подталкивающую делать ошибки, чем каждый раз искать "очень б/у админа" и потом его дрессировать.

 

Я не фанат cisco, мне просто хочется схему, некий best practice для описанного корпората.

[jab]

Вы думаете, что киска Вам позволит обойтись без админа и спасет от

кривых рук ? :-)

[sirmax]

Вопрос пошел в философию =)

 

Недавно на одном из vpn-гейтов что-то переклинило в перловом скриптике, снимавшем статистику, LA дошел до 140, в ядре что-то переклинило, даже после убивания скрипта трафик не ходил.

Ребут, rc.conf не соответствует тому что наконфигурено вручную - остались лежать три десятка VPN...

 

Бардак? Бардак. И все-таки мне кажется, что лучше сделать систему, не подталкивающую делать ошибки, чем каждый раз искать "очень б/у админа" и потом его дрессировать.

 

Я не фанат cisco, мне просто хочется схему, некий best practice для описанного корпората.

Забыл раз сделать wr mem на кошаке.

Результат описан вами выше =)

[jab]

Достаточно один раз найти админа, который на писюке сделает резервируемую систему не подталкивающую делать ошибки. :-)

И уберет с vpn-гейтов глючные перловые скрипты.

[SergeiK]

Тем не менее, если человек хочет купит cisco - имеет право :).

Я бы предложил для таких скоростей отдельно 7201 (менее 20k$ должно стоит) как роутер и ASA5520 для IPSEC/VPN (6-7 k$).

Можно 2 ASA5510-SEC-BUN-K9 - для резервирования и разделения нагрузки.

 

Все новое, конечно.