Sziasztok!
Egy pár fős de később irodába keresek megbízható routert. Jelenleg semmi nincs, hálózat is most lesz csak kábelezve, szolgáltató vadászat folyik épp.
Amit tudok eddig:
- legalább két net lesz, kezdetben az egyik lehet hogy csak mobilnet.
- a két net oka: biztos hogy legyen mindig net, lehessen dolgozni
- kívülről VPN-ezni tudjanak távdolgozó kollégák (kb 5 fő kezdetben)
- belül VLAN-on szeparálni lehessen szervereket, gépeket
- kb. 3-5 lokál gép LAN-on (jellemzően laptopok)
- 1 server gép, virtualizált OS-ekkel, kezdetben csak 2-3 linux
- Synology NAS fájlszerverként
- wifi: 1 vendég és egy dolgozói SSID.
- fix IP
- kifelé semmi NAT, max 1 SSH, kulcsos auth-al, szervíz céllal.
Wines kliensek, de nem lesz tartományvezérlés, AD, stb, sem pedig hálózati meghajtók. A Synology lát el minden fájlszerver funkciót, a Cloud részét használva (kvázi Dropbox, csak bent van a "túlfele is"). A munkaerő dolgozik a lokál gépen, laptopon, és folyamatosan syncelget a Synology-ra. Ennek megfelelően az elsődleges feladat, hogy bent is és kívülről is (VPN) probléma mentesen el lehessen éri a Synology-t.
Gondolva a továbbiakra is, nem SOHO routerben, vagy kicsit erősebb SOHO+OpenWRT kombóban gondolkodom, szerencsére van keret a komolyabb routerre is.
Ennek megfelelően egy DRAYTEK Vigor 2925n -t néztem ki, de találtam itt pár posztot, ahol fagyásokról, olvastam. Magamtól azt gondolom hogy ezért az árért ilyenek nagyon nem férnek bele, ezért alternatívaként felmerült a Mikrotik is.
Sajnos egyik márkával sincs tapasztalatom, ezért szívesen venném a tapasztalataitokat, ötleteket. Mikrotikkel már játszottam (Virtuális gépen Mikrotik OS + Winbox konfig), de még a régi időben egy OpenVPN-t kellett beállítanom, és az a régi fw-n nagy szívás volt.
Célom: VPN-t egyszerűen lehessen felhasználónként karbantartani, vagyis ha jön valaki tudjak usert/passt vagy kulcsot adni neki, ha pedig táévozik a cégtől egyszerűen vissza lehessen vonni ezt a jogot. (Egyelőre nem kell LDAP, stb. de jó lenne ha azért tudná a készülék).
Hozzászólások
Subscribe
[Témán kívül hozzátenném - igaz fel sem merült - hogy Ubiquiti routert ne vegyél :)]
Ez egy kicsit drágább:
Fortinet FortiGate-50E
Mikrotiken nemrég csináltam L2TP VPN-t, nem volt különösebben nehéz (a Fortin egyszerűbb :) )
Pár főre az 50E kicsit ágyú-veréb esete, persze kérdés, hogy hány évre, hány userre számolunk, illetve, hogy van-e UTM igény.
VPN-re mindenképpen tökéletesebb, főleg 5.4.1-es verzióval már a portál mód is ragyogó.
UPDATE: Használt Cisco cuccok is szóba jöhetnek, mert elég jó áron vannak ebay-en...
Inkább egy új Mikrotik mint egy leharcolt használt Cisco. Még egy PC CentOS-sel is jobb választás szvsz.
Hát végig nyálazom azért a használt kínálatot EBAY-en. Hátha...
Amit biztos nem szeretnék: SOHO kategóriás Cisco... 50 000 Ft-os kategória újonnan. Ahhoz drága hogy ne legyen jó, de az ára azt sejteti hogy inkább Linksys...
A soho Cisco nem egy nagy eresztes, de nem is ez a celterulet. Nezz korul az enterprise eszkozok kozott. Ha szoftveres megoldas, akkor en inkabb a pfsense-t javaslom.
+1 a pfSensre.
A helyedben kerülném a Cisco eszközeit. Ha már ebben a méretben gondolkodsz pláne ebay-ről, akkor inkább Juniper. Ami Cisco-ból alsó árkategória, az olyan is. Ahhoz képest pedig drága. Ami pedig jó, az árban túl van értékelve. Egyetlen érv a Cisco mellett az, ha abban van nagy gyakorlatod.
Köszi, megnézem a Junipert is akkor!
lehet samba-t domain controllernek es synology-t beleptetni domainbe.
Ha nem akarsz gepenkent jelszoval pocsolni...
---
Saying a programming language is good because it works on all platforms is like saying anal sex is good because it works on all genders....
arra ott van az azure ad
--
NetBSD - Simplicity is prerequisite for reliability
synology + azure AD ? ez nekem uj. Egy linket/tutorialt esetleg?
---
Saying a programming language is good because it works on all platforms is like saying anal sex is good because it works on all genders....
Úgy néz ki megúszom a Domaint úgy ahogy van, a legtöbb dologra majd max LDAP. De legrosszabb esetben Samba lesz szerintem.
Mikrotik: mert olcsóbb, tisztább, szárazabb érzés :D
Amúgy meg csak azért mert ár/érték arányban verhetetlen és midnent tud, amit csak el tudsz képzelni.
Beállításához se kell NASA mérnöknek lenni de azért igényel némi alap tudást.
Legutoljára a Vigor-okkal a 2900-as szériával volt tapasztalatom és nagyon nem volt szimpatikus.
Fagyott meg teljesítményben is kevés volt....
+1 a mikrotik cuccra.
+1
+1 a Mikrotik-ra
Bár, a Vigor-okat nem ismerem (talán nagyon régen került a kezembe egy, de az FW-ben nem tudott többet, mint bármilyen SoHo szappantartó - ami ide kevés). MT-vel szinte bármit meg tudsz oldani. Ha kevés a teljesítmény, áttöltöd a configot egy erősebb vasba és megy tovább.
Most már elvileg személyre tudod szabni a webGUI-ját, így ha kell, tudsz csinálni egy butított interface-t, amin csak a VPN usereket lehet matatni. Viszont - ha jól emlékszem - magán a router-en nem tudsz kulcsokat generálni a user-eknek, azt kívül kell megoldanod.
DE, ha redundáns nettel tervezel, akkor lehet, hogy a VPN szervert én nem vinném be az irodába, hanem egy külső VPN szolgáltatót használnék, ahova az irodai router is az épp aktuális neten jelentkezik be.
----------------------------------^v--------------------------------------
"Probléma esetén nyomják meg a piros gombot és nyugodjanak békében!"
Köszi a meglátásokat.
http://www.draytek.com.sa/livedemo
Itt megnyomkodtam kicsit a felületet, és ... Hát egyelőre nem szimpatikus a Vigor. Ha már úgy is újat kell feltérképezni, akkor célszerűbbnek látom a Mikrotiket vagy a Cisco-t mélyebben (mondjuk a Cisco más világ...)
lehet egyaltalan egyedi, kulcs alapu azonositast csinalni mikrotiken? emlekeim szerint csak user/pass azonositas van es mindenki ugyanazt a kulcsot hasznalja. (vagy lehet mas kulcs de u/p mindenkeppen lesz, ilyenek jutnak eszembe)
Lehet egyedi kulcs, de akkor is kell user/pass és a kulcsok nincsnek userhez rendelve, tehát bármilyen A user kulcsa + bármilyen B user neve+jelszava segítségével be lehet lépni.
A kulcsokat azért külön-külön vissza lehet vonni, ha kell.
koszonom a pontositast. ezek szerint jol emlekeztem hogy kevesebb a funkcionalitas mint az 'eredeti' openvpn-ben.
Vagy nem értem amit írtál, vagy nem igaz.
Klasszikus openvpn esetén a kliensnek aláírt certben szereplő név alapján is tudsz azonosítani, akár user/pass nélkül is. Mikrotik esetén követelhetsz ugyan kulcsos azonosítást, de bármilyen érvényesen aláírt cert megteszi, és ezen kívül mindenképpen kell user/pass. A továbbiakban csak user/pass alapján tudsz rá hivatkozni, a certben szereplő név figyelmen kívül marad. A mikrotik, és a standard openvpn sem rendeli össze a user/pass párosokat a kiadott certekkel. Ez a mikrotik esetén azt jelenti hogy az aláírt kulcs - bár kell a csatlakozáshoz - a felhasználók egymástól eltérő azonosításához lényegében nem lesz használható, az továbbra is csak a user/pass ismeretén alapul. Standard OVPN esetén ezzel ellentétben a felhasználók automatikus beazonosítása kulcs alapján is megoldható.
Tudsz esetleg módszert arra, hogy a RouterOS-ben egy kulcshoz hozzárendelhessek egyetlen érvényes felhasználónevet, vagy más módon megoldjam hogy a felhúzott TUN interface egyértelműen kulcshoz (is) kötődjön, ne csak user/pass-hoz? Lehet esetleg valamilyen scriptet húzni a loginokra? Kérlek oszd meg velem ha létezik erre megoldás, kifejezetten hasznos lenne számomra.
A ROS jelenleg elég béna OVPN megoldást ad. Ennek tulajdonsága pl. hogy tcp only, és hogy egy instancia futhat. Ehhez még hozzá, hogy ez össze van hekkelve a saját user authjával.
Amúgy erre gondoltam, hogy nem értettem mire írod, mert a kulcs és az azonosításból másra asszociáltam. Persze messze előrébb volt szó VPN-ről, de nem gondoltam, hogy arra vonatkozóan írsz.
Csak roadwarrior VPN-t szeretnél?
Hány konkurens felhasználóval?
Soha nem lesz site-to-site VPN?
Mit jelent roadwarrior VPN?
5-10 konkurens userrel.
Site-to-site most nem lesz, de az hogy sohasem, ez korántsem biztos, ezért készülnék rá.
Roadwarrior VPN - "utcai harcos" - azon felhasználói VPN végpontok, amik jellemzően nem köthetőek konkrét helyhez vagy infrastruktúrális elemhez, mivel a felhasználó rendszeresen mozog. Tipikusan ilyenek az üzletkötők, karbantartók, vagy más az ügyfeleknél/terepen rendszeresen munkát végző és onnan bejelentkező kollégák. Gyakorlatilag a site-to-site vpn ellentéte.
Zavard össze a világot: mosolyogj hétfőn.
Köszi az infót! Most csak roadwarriorok lesznek, de később simán igény lehet a site-to-site, ezért már most olyan eszközt szeretnék, ami tudja.
PC RouterOS-sel?
MikroVPS | 50% kedvezmény VPS-re HUP50 kuponnal
Szerintem ha már PC, akkor inkább valamilyen stock Linux. RHEL/CentOS-sen például remek firewall toolok állnak rendelkezésre, pl FirewallD.
A kényelmes kulcs és VPN kezelés miatt Zentyal (csak routerként) is jó választás lehet PC-re.
RouterOS-hez kell egy legalább Level4 licenc, amit Microtik vásárlásához automatikusan kapsz, de PC-hez külön kellene beszerezni. Vannak akik vásárolnak régebbi Microtik routert olcsón csak az L4 licencért és ezt viszik át PC-re. De ez a lehetőség nálam soha nem ütötte meg az ingerküszöböt, ezért tapasztalatom nincs vele.
Másik lehetőség PC esetén a jól bevélt OpenWRT, ami PC hardver alatt is jól teljesítő és biztonságos router rendszer.
50 dollárról beszélünk, úgy mondod, mintha a routeros valami többszázezerbe kerülő termék lenne.
MikroVPS | 50% kedvezmény VPS-re HUP50 kuponnal
Hup-on sohasem lehet tudni. Sok itt a Filléres János. :)
DRAYTEK Vigor 2925n-t irta példaként, ami kb 100e körül van, szóval tippre nincs most erről szó.
MikroVPS | 50% kedvezmény VPS-re HUP50 kuponnal
Igen, a témát indító biokill nem árérzékeny. Viszont mások is olvassák ezt, akiknek hasznos lehet. Néha évekkel később is újraélednek hup fórumok. :)
Különben ha újra elolvasod amit írtam, biokill-t lebeszéltem erről a megoldásról.
Egyébként teljesen egyetértek veled. Ha valaki PC-re akar RouterOS-t vegye meg közvetlenül a licencet. Más kérdés, hogy a RouterOS elsősorban Mikrotik hardveren jó választás. Ott tudja maximálisan kihasználni a hardver képességeit. Szvsz PC+RouterOS azoknak jó, akik már megszokták, nagy gyakorlatot szereztek RouterOS környezettel, és valamilyen okból PC hardveres routerre van szükségük. Pl. extrém nagy terhelés.
PC-n már játszottam a Mikrotikkel, a Wifi nélküli alapokhoz tök jó az ingyen licensz is. Viszont ha már PC akkor PFSense szerintem :) Azzal van is tapasztalat. De az sajnos/nem sajnos biztos hogy nem PC-vel lesz megoldva a feladat.
Ezt kifelejtettem. Igazad van, a pfSense is remek PC router rendszer.
"Vannak akik vásárolnak régebbi Microtik routert olcsón csak az L4 licencért és ezt viszik át PC-re."
Ezt meg lehet csinálni? Nem nagyon tudom elképzelni.
Szerintem sem vihető át (max. PC-s licensz másik PC-re, de azt is úgy kell kisírni a support-tól). Ellenben ~12e HUF egy PC-s L4 licensz + egy csomó mindenhez (tanfolyam, MUM konferencia) ajándékba dobálja hozzád a MT - szóval értelmét sem látnám a szívásnak
----------------------------------^v--------------------------------------
"Probléma esetén nyomják meg a piros gombot és nyugodjanak békében!"
"Célom: VPN-t egyszerűen lehessen felhasználónként karbantartani, vagyis ha jön valaki tudjak usert/passt vagy kulcsot adni neki, ha pedig táévozik a cégtől egyszerűen vissza lehessen vonni ezt a jogot. (Egyelőre nem kell LDAP, stb. de jó lenne ha azért tudná a készülék)."
Ha ez kiemelt célod és nem vagy barátságban a parancssoros környezettel, akkor szóba jöhet még Zentyal is bármilyen alkalmas PC hardveren. Egyszerű és jól átlátható felülete van OpenVPN adminisztrálásra.
A router célhardverek közül egyértelműen a Microtik-et ajánlom. Itt routerboard-ot részegységként is vásárolhatsz és összerakhatod PC-hez hasonlóan a számodra ideális routert.
Az OpenWRT egyáltalán nem "komolytalan" router rendszer. Az alatta levő elterjedt hardverek miatt gondolják ezt néhányan, minden alap nélkül. Microtik-re is lehet különben tenni OpenWRT, de mivel a RouterOS tudja csak maximálisan kihasználni a Microtik hardver egyedi komponenseit, ezért az erre jobb OS választás.
Ha nagyon tapasztalt vagy OpenWRT adminisztrálásában, akkor PC-re is telepíthető.
Az a 680 MHz karcsú lesz 5 VPN kliensnek, főleg ha rendes titkosítást is akar, és ez az 5 ember egyidejűleg feljönne a VPN-re.
MikroVPS | 50% kedvezmény VPS-re HUP50 kuponnal
Pont ezért jó, hogy van hardware encryption Mikrotik-ekben. Ezek támogatják: RB1000,
RB1100AHx2, RB850Gx2, RB1000, minden CloudCoureRouter board.
ja. IPSEC-el.
Nem az 5 kliens fogja hazavágni hanem ha elkezdenek forgalmazni rajta.
Tapasztalatom szerint a SOHO kategóriás RB7xx,RB9xx,RB2011,CRS szériákkal kb 10 Mbps normál titkosítású VPN-el már koppolni lehet a CPU-t.
1100AH-val 50-100Mbps körül van a vége VPN típus és titkosítás erősségétől függően.
1100AHx2-vel fölé tudsz lőni ezeknek de akkor már a CCR szériával jobban jársz.
For comparison RB1000 with enabled HW support can forward up to 550Mbps encrypted traffic. When HW support is disabled it can forward only 150Mbps encrypted traffic in AES-128 mode.
HM... mindig van mit tanulni....
Ha jól értelmeztem, akkor mivel nem AES-128-at használunk így SW failback van....
Akkor az előbbi megjegyzésemet korrigálva az 1100AH/1100AHx2 szériák bőven 100M fölött tudnak... csak jól kell választani algoritmust :D
csak az AES128-at gyorsítja? nem az összes AES-t?
ps: épp nemrég próbáltam CCR1009-et OpenVPN-el. Ott egy kliens simán el tud vinni magával 1 magot (~100mbps sebességgel).
IPSec-kel az összes AES-t gyorsítja. Max 900Mbit/s -t sikerült vele elérni, mely 2 párhuzamos IPSec felépítésítével, párzuhamos terheléssel is megállta a helyét (450-450).
"Itt routerboard-ot részegységként is vásárolhatsz és összerakhatod PC-hez hasonlóan a számodra ideális routert"
Ennek irodai router esetén nem sok jelentősége van. Bizonyos SoHo eszközök ugyanezek a board-ok bedobozolva, táppal ellátva (olcsóbban, mintha darabokban vennéd), más kész SoHo eszközök viszont már a "csupasz" board-oknál jóval többet tudnak (portszámban, memóriában, stb.)
A legózásnak csak WiFi linkek esetén van jelentősége, hiszen, amit egyáltalán variálni tudsz, az a WiFi kártyák típusa és mennyisége az alaplapban.
----------------------------------^v--------------------------------------
"Probléma esetén nyomják meg a piros gombot és nyugodjanak békében!"
Szvsz félreérted a dolgot. Olvass utána Mikrotik, Routerboard témának.
Szvsz te értesz félre :) (mint "irodai router", mint "SoHo eszköz" én a MT termékpalettán belül értettem!)
Nem vagyok guru, de otthon vagyok MT-ben, használom pár éve. Ethernet router-en nincs mit legózni, max. bedobozolni.
----------------------------------^v--------------------------------------
"Probléma esetén nyomják meg a piros gombot és nyugodjanak békében!"
Akkor csak félreérthető voltál a "Bizonyos SoHo eszközök ugyanezek"-kel. Ez alá tartozhatnak akár a TP-linkek is, így fogalmazva.
De így már rendben van. És valóban, elsősorban a Wifi variálhatósága miatt érdemes összerakni, ha egyéni wireless igények vannak.
Köszi!
Megnézem ezeket, erősebb kiépítésben, meg nézek hozzájuk dobozt is, vagy pedig eleve összeszeretltet is nézek.
Sajnos nekem a Zentyal annyira nem tetszett meg, ez akkor jön szóba ha Domain Controller mindenképpen kell. Akkor lehet nem vacakolok MAJD külön LDAP és Samba konfigolgatással, de első körben azt gondolom hogy lesz egy külön LDAP szerver, a routing feladatokat pedig ne ugyan az fizikai eszköz lássa el. Szóval a PC a routingra kilőve, Mikrotik + Zentyal SAMBA és LDAP-ra szerintem szóba jöhet, de ez majd egy következő lépés lesz.
Szerintem a Zentyal fő funkciója az email szerver eléggé gyenge. De erre pont jó, főleg a kényelmes gui admin miatt. A két gépes megoldást jó ötletnek tartom én is. Ha egy erős PC vason megy az OpenVPN, akkor az egész stáb egyszerre akár HD videokonferenciázhat is VPN-en, az sem jelent problémát. Vagy nagy fájlok VPN-en való átvitelében sem az OpenVPN szerver lesz a szűk keresztmetszet.
Sajnos / nem sajnos első körben teljesen elvetve a PC-s megoldás, illetve az OpenVPN szerver is, pont a sebesség miatt. Úgy néz ki az egyik link gigás digi lesz, jó lenne ezt minél jobban kihasználni VPN oldalon is.
Egy nem mai darab Sandy Bridge Core i5 is hozza a gigabit vpn-t. Úgy látom a Digi gigabit különben csak lefele gigabit felfele "csak" 200mbps. Tény, hogy ez super jó sebesség még nyugat-európai mércével is, pláne ennyiért.
Nem vagyok szakértő, csak egy javaslat:
https://blackcell.hu/termekek/utm/sophos-utm/
köszi, nem ismerem, de megnézem!
Leharcolt használt Cisco-t ne vegyél (főleg ne EoL-t). Ha Cisco, akkor új és 1-3-5 év támogatással, de az meg nem két fillér (Az Enterprise kategória).
Mikrotik inkább, mint Vigor. Nagyobb a választék. :)
Ami szerintem még kritikus tud lenni, az a támogatottság (pl.: milyen gyorsan javítanak ki egy már publikus sebezhetőséget, milyen a support, stb.).
--------------------------------
...except the gyevi bíró
+1
Normális HUP-ot használok!
ZyXEL USG60?
Köszi, felveszem a potenciális jelöltek közé! :)
Vpn sebesség és teljesítmény ügyben ez hasznos lehet neked: https://www.privateinternetaccess.com/forum/discussion/2845/openvpn-rou…
Normális HUP-ot használok!
köszönöm. Hát igen, az OpenVPN elég karcsú tud lenni néha :(
Árban durvább mint egy mikrotik, de egyszerű, jó cucc: Cisco Meraki. MX tűzfal appliance pl MX64 ( https://meraki.cisco.com/products/appliances/mx64 ), meg teszel mellé egy alap ac2-es AP-t.
A Wifi is meg lenne oldva.
Azt hiszem ha most 3 éves license-t veszel, 4 évig lesz érvényes.
Ezt nem ismerem egyáltalán, köszi, felteszem a jelöltek közé és megnézem jobban!
Ugyan nem irtad mivel akarsz virtualizálni,
de a pfsense pöpecül megy esxi alatt.
Ha mégsem válik be akkor később is válthatsz külön tűzfalra.
A wifi-t meg megoldhatod egy mikrotik AP-val, igy azt oda teheted
ahol a leg optimálisabb a helye.
Köszönöm a tippet. Sajnos virt.-et nem fogom tudni erre használni, mert túl kritikus a router ahhoz, hogy egy PC probléma/leállás vigye magával a hálózatot is.
Mindenképp SPoF cuccot akarsz berakni a hálózatba, az itt javasolt zyxel, cisco és hasonló cuccokkal is pont ugyanúgy lehet probléma van leállás.
PC (akár virtualizált akár nem) megoldás előnye, azonnal cserélhető egy raktáron levő másik PC-re. Ha nincs is előre telepítve a másolat router rendszer, max 10 perc alatt megvan az image átvitele.
Cisco már sokkal ritkábban áll tucatszámra a raktárban polcokon.
En itthon, privat celra a Linksys LRT224-et hasznalom. Azert vettem ezt, mert eleg gyors, es dual-WAN, azaz ket netkapcsolatra fizetek elo ket kulon szolgaltatonal, es tud aggregalni, failoverelni, satobbi. Sajat tapasztalatok szerint 900 mbitet routol WAN->LAN iranyba, tamogat IPSec-et es OpenVPN-t is. VPN-en keresztul kb. 70 Mbit/sec-et tud.
----------------------
while (!sleep) sheep++;
Köszi a típust, felveszem őt is a listába.
Dual wan-t OpenWRT is tud sima konzumer tp-link routerrel is.
Csak azt irnám, hogy mit ne.
Pl. 100 ezres cisco-t se.
Cisco VPN RV325, dual wan routerként van hirdetve, ehhez képest képtelen a két külön wan-on adott portot máshova forwardolni.
Nekem az kellett volna, hogy az egyik wan-ról a 443-as port az egyik szerverre menjen, a másik wan-ról ugyanez másik szerverre és nem lehet megcsinálni. Nálam maradt a vigor, olcsóbb, többet tud és nem volt még olyan, hogy újra kellett volna inditani probléma miatt. (3 éve megy)
Melyik firmware-rel tapasztalod? Nekem is van ilyenem, nalam 1.3.1.12-nel nincs ilyen problema.
Ez fél éve volt mikor vettem, aztán felment a polcra tartalék routernek.
De ha azt mondod nálad működik, akkor jövő héten megnézem, frissitek fw-t rajta, hátha megoldották. (meglepődök, ha igen, én már lemondtam róla :)
Feltettem az 1.3.1.12-t, de továbbra sem látom hol lehetne a setup/forwarding alatt meghatározni, hogy az adott portot melyik wan interface-ről akarom beforwardolni. Tudnál egy screenshotot csinálni ahol ezt be tudod állitani? Vagy csak az elérési utat, lehet rossz helyen keresem.
Köszi az infót, ezt a RV325 típust már kilőttem korábban, de jó hogy van akkor tapasztalat.
100-200 közötti használt Cisco most nagyon az irány.
Én Mikrotik routerboard-ot választanék a feladatra. Ha nem kell bele a WiFi, mert lesz külön AP, akkor az RB750GR2 alias hEX routert, ha kell a WiFi akkor RB2011-nek a WiFi-s változatát.
Jók a netes doksik, ha egyszer beállítottad akkor stabilan mûködik.
Köszönöm szépen az eddigi sok hozzászólást, meglátást, igyekszem mindegyikre külön a szálban is válaszolni.
Jelenleg ezzel szemezek, használtan:
Cisco 892W-AGN-E-K9
Ha jól gondolom ez a terméklapja:
http://www.cisco.com/c/en/us/products/collateral/routers/800-series-rou…
Kicsit megtévesztő, hogy sok helyen 100-asnak írják a LAN portokat, de a Cisco oldalán gigásnak látom + fel nem fognám, hogyha WAN oldalon gigás a két port, akkor miért pont LAN-on lenne kevesebb...
Megnézem még hogy ne end-of-line cucc legyen, de erről a családról mi a vélemémyetek? Ha nem is a wifis eszköz, de ez a család + hozzá 1 N-es AP az egyik LAN porton, ha az úgy árban kedvezőbb.
Az kezd biztossá válni hogy 100 fölé is lehet menni, de 200 alatt kell maradni.
Továbbá biztosan elvetésre kerül a PC alapú megoldás most. Virtualizálva semmiképp nem futtatnám a "routert", pl. Pfsense. Mert ha pont az egyelőre egyetlen darab szerver gépnek lesz baja, akkor távolról rá se tudok nézni, ha a router is rajta megy.
erre a ciscora pont kint van az eol: http://www.cisco.com/c/en/us/products/collateral/routers/800-series-rou…
És igen amit pont ilyen, gondolom jobb sávszél kihasználtság miatt.
Ebből a vonalból inkább a Cisco 892FSP-t választanám külön ap-val.
A PC-s dolgot én sem értem, mi a különbség 1db dual wanos router és egy szerver között? Ha elszáll a router a szervert akkor sem fogod tudni elérni.
Szerver mellett szól, hogy lehet dupla tápos, raid tömbös ami már nagyobb redundancia mint egy soho router.
Az utóbbi mondatra reagálnék: pl Mikrotik-nek szinte minden routere "dupla tápos".
A Mikrotik routerrel minimális befektetéssel tudsz VRRP-vel "hot-spare" konfigurációt, de a legtöbb esetben elég, ha
a polcról leveszed a tartalék routert és betöltöd a konfigot (avagy alapszinten konfigolva van és monjduk napi mentésed van róla)
Ezt hogy érted, dugasztából lehet 2db-t beledugni?
Ez hasonló gondolom mint a cisco-s hsrp, de ehhez wan oldalon is 2 ip kell. Arról a kérdező nem nyilatkozott, hogy ilyen kell e neki.
Engem az érdekelt miért dobja egyszerre a virutális gépet és miért csak fizikai vasban gondolkodik.
"Ezt hogy érted, dugasztából lehet 2db-t beledugni?" - ahogy mondom. Minden RB,amin van PoE és power jack megy 2 táppal. az lesz az "éles" amelyiken magasabb a tápfesz
"Ez hasonló gondolom mint a cisco-s hsrp, de ehhez wan oldalon is 2 ip kell." - nem feltétlen kell. Jó, a VRRP-hez igen, de scripttel megoldható az, hogyha nem látja a másik routert, akkor felveszi az IP-t a WAN oldalra.
Avagy ha LAN oldalon Ő a VRRP master - mert a másik kiesik, akkor a WAN oldalon is.
Minden külső tápos (DC 12V vagy hasonló) routert lehet dupla tápossá alakítani 2db táp és 2db dióda segítségével. :-)
A RouterBoard-ok között viszont van már 1U-os dupla tápos kivitel is. (CCR sorozatban)
Mikrotiknél egyszerű: tápláld meg poe-in -ről + a saját tápjáról.
Hát... Ugyen erre jutottam tegnap kb. én is...
Egyrészt EOL, másrészt a Cisco oldala ugyan gigásnak írja a LAN portokat, de minden máshol 100 Megásak a leírásban, és láttam egy konzol startup logot is, ahol mikor kelnek fel az interfészek bizony nem Gigabit belőlük csak kettő...
Így kezdek a PFSense felé hajlani... Egyrészt ha ledöglik akkor kb 1 órán belül összelapátolható egy mezei PC-ből átmenetei HW, amire feldobom a mentett konfigot és boldog vagyok, másrészt azért talán a legolcsóbb szerver hw-kből is elég stabil megoldást ki lehet hozni.
Amin gondolkodom: a legolcsóbb HP Proliant DL20 https://ipon.hu/webshop/product/hp_proliant_dl20_gen9_g4400_3.3_ghz_2_c… másrészt a lent is említett Pfsense HW-k: SG-4860 és SG-2440. Proliant mellett szól, hogy az aztán ki bírja hajtani a VPN-t, nem hiszem hogy mem/cpu gond lenne, viszont lehet hogy hangos. Pfsense HW mellett meg a hangtalan kivitel és "kész megoldás" szól. Viszont ott a CPU nem épp izmos.
Vegyél egy Dell T110-et.
MikroVPS | 50% kedvezmény VPS-re HUP50 kuponnal
Hát nemtom, szerintem inkább vennék 2 kb. ugyanolyan használt gépet (nem kell túl kiépítettet venni), tennék bele ugyanannyi hálókátyát és bekonfigolnám ugyanúgy a kettőt. Színkód a kábelekre és a hálókártya portokra, és ha az "aktív" vas ledől akkor "pirosat a pirosba" alapon egy majom is át tud dugni 3-4 kábelt (wan1, wan2, lan, dmz) egyikből a másikba. Ettől még lehet raid, redundáns táp, apámph*sza is alatta.
A fenti dl20g9 árából majdnem kijön két ilyen, és ebben már van redundáns hotswap tápod az egy darab nem hotplug helyett, és van 4 LAN portod is az 1 helyett (ha el nem írták).
Igen, amit te néztél ki az tényleg 1GE és 1 FE wan-os és 8 FE lan-os. Megtaláltam a datasheet-jét is, ott írják is.
http://fr.router-switch.com/cisco-890-series-integrated-services-router…
Hova tervezitek letenni a routert/szervert? Irodai környezetbe én ilyen vasakat nem tennék be, egy picikét hangosak :)
Egy állóval lehet jobban járnál pl: HP ML10
Az SG-2440 típusú pfsense atom stabil egy ~20 fős irodában (vlan, siproxys, openvpn ipsec vpn) úgy hogy minden távol fut...a belső szerverek is.
Köszi, hajlok mostmár egyre jobban a PFsense felé, erős de különálló HW-n.
+1 Mikrotik
+ miCrotiC : )
ha már cseréljük a K-t : )
"Vigor vs Mikrotic - Kicsi de bővülő irodába kezdéshez"
Igazad van, szépen elírtam már az elején :)
Sziasztok!
Köszönöm szépen a sok segítő hozzászólást, javaslatot.
A PC megoldást el kellett vetünk a megrendelő kérésére, így végül Mikrotik lett: CCR1009-8G-1S-PC
https://routerboard.com/CCR1009-8G-1S-PC
A kiválasztás első lépése a link alján lévő performance információk tanulmányozása volt.
Első próbák során eddig nagyon elégedettek vagyunk, igaz még nem a végleges helyén van.
egy dologra figyelj! Ha a CPU terhelést nézed, és csak 10%-t mutat, akkor lehet, hogy az összes mag 10%-a ki van hajtva, de valószínűbb, hogy 1 mag 100%-ra.
Ilyenkor ha a scheduler neki dobja a feladatot, akkor szívás tud lenni.
Egyébként jó cucc.
Köszi, jegyzem.
Egyellőre az L2TP IPSEC-el szívok: ha ugyan arról a WAN IP-ről ketten jönnek be, akkor mindig eldobja a régebbit...
csak tippelek, de a L2TP-IPSEC az site2site-ra való, nem? uarról a WAN IP-ről (értsd client IP), hogyan jönne 2 hálózat?
vagy a saját WAN IP-dről beszélsz?
simán lehet hogy site2site-ra való, de akkor mi való road warrior-ra? :) SSTP-t elkezdem megnézni...
szerint a road warrior meg arra való, hogy bárhonnan jöhessen.
ha az irodában van site2site, akkor minek legyen road warrior? :-)
site to site nincs. (később lehet hogy lesz) De azonos külső címről akár ketten, hárman is jöhetnek.
Úgyhogy kell a road warrior, ahogy nézem SSTP lesz a befutó erre, csak ott egy gonddal több hogy certeket is kell csinálni, nem elég az user/pass páros. De inkább ez mint a PPTP...
csak az IPSec lesz HW gyorsított. Openvpn esetleg?
ó, ne ezt nem tudtam... Ha minden kötél szakad akkor OVPN lesz (én nagyon szeretem), de tény hogy egy kliens programmal több, amit első körben elvetnek...
használhatnak a kliens program helyett egy Mikrotik eszközt kliensnek :-)
vagy volt pl olyan kütyü, hogy Yoggie Pico board
http://www.zdnet.com/article/the-yoggie-pico-pro-linux-security-applian…
persze ez egy újabb vennivaló lenne...
Jópofa cucc, de a bajom nem oldaná meg szerintem.
Az a baj, hogy kívülről, ugyan arról a WAN IP-ről nem tud két kliens kapcsolódni. Ezt szerintem további eszközök sem oldanák meg, csak ha site-to-site lenne, akkor meg már nem is kellene konnektálni... :)
Mikrotik IPsec Peers alatt a nat-traversal be van kapcsolva?
be...
Vyatta OS? ( vyos ), ez lényegében az ágyúval ágyúra esete lenne.
vagy szvsz ( ezért úgy is szét fognak szedni ) :
20-25 dolgozó kiszolgálására RB2011 ( vpn, usb, sfp, ami neked kell )
tőbbre, nagyobbra tervezve: RB1000-1200 ami épp van a boltokban, ez viszont már 70k+