Newsgroup: it.comp.reti.locali
Titolo: Decisione difficile: Fortinet, Stonesoft o Juniper

Ciao,
stiamo riprogettando la nostra wan, l'idea è di lavorare in esclusiva
in vpn, sono circa 12 sedi remote connesse alla sede centrale, se ledi
periferiche vanno dai 3 utenti ai 60 utenti, ovviamente con tagli di
banda dimensionati a dovere.
Ogni sede periferica comunica solo con la sede centrale e non con le
altre, però ognuna avrebbe accesso ad internet direttamente.
Mi interessa (in ordine sparso... senza vincoli assoluti) che:
- ogni sede sia in high-availability e in load balacing (ogni sede due
connessioni di provider e/o tecnologia differente, HDSL e WiMAX o HDSL
e ADSL, ecc.)
- content e/o url filtering (vorrei abilire il proxy centralizzato)
- sistema centralizzato delle configurazione con storico delle
modifiche, magari con roll-back
- deploy centralizzato delle patch, aggiornamenti firmware, ecc.
- firewall/nat (nella sede principale dovrei pubblicare due-tre siti
web).
- COS e QOS
- Compressione/ottimizzazione del traffico
- log attività utenti
- gestione accessi a internet (per la navicazione, ecc.) con
autenticazione Active directory Microsoft
- VPN site-to-site
- VPN client-to-gateway per circa 60 utenti, contemparanei 10 circa
- monitoraggio della rete
Il traffico è composto prevalentemente da applicaizoni SAP, Lotus
Notes, applicazioni Web (CRM, ecc.), spool di stampa SAP e poco altro.
Mi hano proposto soluzioni basate su Fortinet, Stonesoft o Juniper.
Ogni sede, in funzione del caricato/utenti con modelli differenti,
degli appliance (due per ogni sede) dei brand già citati.
Ogni sede prevedono un dispositivo di compressione, bypassabile in
caso di fault (per la sede centrale ne metterebbero due).
Avete qualche suggerimento? conoscete gli apparati Fortinet, Stonesoft
o Juniper?
Un parere... su quale strada andare?
Ovvio che oltre all'affidabilità mi interessano performance, comodità
di gestione.

 di gestione.
In un sistema così ampio sarai obbligato a installare anche
l'appliance per il management e per il logging (in caso di fortinet)
quindi poi avrai tutto centralizzato e la comodità di gestione sarà
massima. Per le performance non ci sono problemi, basta scegliere
l'hardware adatto.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1200R Nera...
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 WiMAX o HDSL e ADSL, ecc.)
WiMAX è morto ancor prima di nascere; per il resto direi che, visto
quanto hai scritto (12 sedi remote con utenze sino a 60) potresti
anche valutare l'acquisto di un AS (autonomous system); a parte
ciò, credo che prima di tutto dovresti valutare i vari ISP (dato che
per un reale sistema fault tolerant dovresti avere ISP/Carriers
diversi per OGNI connessione)
Oltre a quanto sopra, il discorso "sedi remote" richiede ANCHE
una valutazione del software in uso e delle tipologie di traffico,
ad esempio, avendo un applicativo che necessita di accedere
ad un determinato database, si potrebbe considerare l'idea di
implementare una "replication" del DB presso le varie sedi
remote (o quantomeno presso quelle più "critiche") in modo da
permettere la prosecuzione dell'attività anche nel caso in cui
la connessione VPN sia inattiva e da garantitre l'aggiornamento
automatico dei dati una volta che la connessione venga riattivata
Insomma... tu hai chiesto un parere solo sugli apparati (e per
quanto mi riguarda mi sento di consigliare Juniper) ma credo che
le problematiche coinvolte siano molto più ampie di quella
relativa alle "semplici" connessioni VPN (e VLAN)


anche qui son d'accordo per Fortinet che ha anche altri succosi prodotti 
per il filtering email ed altro che potrebbero essere integrati anche 
successivamente senza troppi sforzi.
Mi rimane una perplessità che comunque sarebbe espressa in qualunque 
delle possibili scellte hardware ed è relativa alle tue premesse di 
connettività impiegando due tecnologie differenti di base, ma che 
comunque in fortinet troverebbero la soluzione più adatta.
La mia ipotesi sarebbe quella di lavorare nella tecnologia più 
performante in HA con gli apparati correttamente configurato ed 
utilizare la seconda tecnologia solo per i backup nel casso che fosse 
indisponibile la prima.
Ed anche qui, budget permettendo, preferirei dei multilink sulle singole 
connessioni ad una offerta più alta ma su singola linea (ad esempio 
preferirei ad una adsl 20/1, quattro linee adsl 4/512 in multilink come 
quelle di NGIF516 ottenendo una 16/2 che mi garantisce una maggior banda 
in uscita e la presenza di ben 4 linee fisiche su ogni connessione).

 in uscita e la presenza di ben 4 linee fisiche su ogni connessione).
bhe delle ADSL le userei solo come backup.
Per avere delle buone performance con delle VPN (ma poi perchè non una
bella MPLS tra tutte le sedi?) ti servono obbligatoriamente delle
linee simmetriche. Tra l'altro la sede centrale dovrà avere a
disposizione anche molta banda per soddisfare tutte le sedi remote.
Non sarebbe una brutta idea spostare i server "condivisi" in un
datacenter, in modo da avere un centro stella senza troppi problemi di
banda.


 automatico dei dati una volta che la connessione venga riattivata
Ah... film già visto, usiamo applicazioni client/server a tre livelli
(SAP) che fanno della centralizzazione la loro forza, abbiamo processi
talmente integrati che solo l'idea della replicazione di dati ogni X
minuti fa storcere il naso a tutti, il db centrale è di circa 2 TB
ormai.

 banda.
La sede centrale è il nostro datacenter... c'è roba da mille e una
notte, credimi, non è uno sgabuzzino.
Nella sede principale ci sono il 90% degli utenti, il restante 10% è
in WAN ora... e mi chiedono di abbassare il costo della rete
geografica.
Bye,

 di abbassare.
Hai valutato soluzioni di VPN offerte da altri provider? P.es. con
McLink un mio cliente ha risparmiato un botto di soldi rispetto ad un
Hyperway di Telecom con pari caratteristiche; alla fine ha pagato la
metà (non so ovviamente a quale ISP tu ti affidi).
Se ti porti tutto in casa, oltre al costo degli apparati hai anche tutti
i costi di gestione e comunque devi mantenere anche le linee che sono la
parte più onerosa della connettività.
Personalmente se fossi al posto tuo chiederei delle offerte ai vari
provider prima di impelagarmito di ferro. in un'acquis
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.


certo che ora è fuori luogo (mica detto) ma con opportuni prodotti ed 
opportune scelte il tener "allineati" un paio (od anche +) di terabytes 
non è mica impossibile..
inoltre una tecnica del genere darebbe anche un quid in + alla sicurezza 
verso eventuali perdite di dati....


orea non ti costerebbe molto valutare anche questa possibilit�, al 
momento c'e' telecom che si agita fuori misura per vendere il suo 
servizio che chiamano "nuvola", fantasiosi vero?
http://www.impresasemplice.it/catalogo/ospit_virtuale
e tieni presente che anche l'enrgia che alimenta gli apparati ha un costo.

 e tieni presente che anche l'enrgia che alimenta gli apparati ha un costo.
a dire il vero non mi sembra una gran cosa...

 notte, credimi, non � uno sgabuzzino.
Non parlavo di questo. Puoi avere un datacenter da mille e una notte,
ma se poi esci con 10Mb (in up ovviamente) il collo di bottiglia �
questo. Se poi hai un SA e 100Mb di banda allora ok.
Un datacenter "pubblico" invece da garanzie di connettivit� molto
superiori
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1200R Nera...
L'indirizzo em@il non � da considerarsi pubblico,


 
http://www.impresasemplice.it/catalogo/ospit_virtuale
eh eh eh hanno dato anche a te la brochure cartacea? Bellissima,
sembra proprio una nuvola!!


 (SAP) che fanno della centralizzazione la loro forza, abbiamo processi
ma per caso ci conosciamo? Perchè una realtà simile la conosco pure io
(però no, alcuni dettagli non tornano).


 proprio una nuvola!!
Secondo me ha dei prezzi piuttosto altini...73€/mese per un server di 
fascia bassa è esagerato.
-- 
"Never underestimate the bandwidth of a station wagon full of tapes
hurtling down the highway" - Andrew S. Tanenbaum
http://blog.mainardi.me
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"

 fascia bassa è esagerato.
i prezzi non li conosco. Mi hanno dato solo la brochure e mi hanno
invitato alla classica visita nel datacenter.
C'è da dire che poi le tariffe telecom sono come un elastico... :-)


 ormai.
Si si... giï¿½ stato, visto etc... il fatto ï¿½ che nel nostro ridente paese
i "blackout" delle linee non sono poi cosï¿½ remoti, nonostante tutte
le precauzioni che uno possa adottare, e l'implementazione di un
meccanismo di replica permette di lavorare anche nel caso in cui
le linee siano "off" ... e per quanto riguarda la dimensione del db,
questa NON ha. di norma, alcun impatto sul meccanismo di replica
anzi, questo tuo riferimento alle dimensioni del DB mi fa pensare
che tu non abbia una gran familiaritï¿½ con tali meccanismi