Newsgroup: it.comp.reti.locali
Titolo: linee di backup e VPN

Ciao a tutti,
vi espongo un dubbio:
classica azienda con mail server e alcune VPN. Si vuole cercare di
evitare ogni minimo down aggiungendo un'ulteriore linea (ammettiamo
una ADSL) alla principale (ammettiamo una HDSL).
Ovviamente linee di due operatori diversi per evitare che un down
dell'isp vanifichi il fatto di avere una linea di backup.
Problema, visto che le due linee avranno ovviamente IP distinti che
provengono da isp distinti come si gestiscono le VPN?
Qual'è la soluzione ottimale (senza limiti particolari di budget) per
risolvere una problematica di questo genere?
Il raddoppio delle VPN potrebbe essere sufficente?
Io per es. acquisterei un blocco di IP e lo renderei raggiungibile
tramite i due provider, ma non so se è una cosa che si fa.
grazie a tutti per le info
Ciao
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 Ciao
forse dovresti precisare chi sono o saranno
gli endpoint delle vpn da ambo i lati
perchè se gli endpoint sono dei servers
allora non è importante fare particolari configurazioni
purchè i routers switchino tra la linea primaria
e quella di backup, se invece gli endpoint sono i routers
in vpn site to site allora devi configurare le vpn
opportune per ciascuna linea.
ciao.
-- 
Edoardo Benussi - 
e...@mvps.org
Microsoft® MVP - Most Valuable Professional
Management Infrastructure - Systems Administration
https://mvp.support.microsoft.com/Profile/Benussi
 

 opportune per ciascuna linea.
quindi useresti un semplice firewall con più interfacce lato wan con
tutte le VPN duplicate e il routing opportunamente configurato?
La possibilità di avere un blocco di indirizzi assegnato e farlo
raggiungere da più ISP è una cosa comunque fattibile (ovviamente a
costi più elevati)?
Sto guardando i prodotti radware che sembra facciano quello che
chiedevo (oltre ad altre cosucce) hai avuto modo di vederli tu? Sai
come funzionano e come vanno implementati a grandi linee?
ciao


 costi più elevati)?
cosa intendi per "farlo raggiungere da più ISP" ?


 
ipotizzo: autonomous system?
-- 
Paolo opg
BE AWARE that this post uses a fake reply-to address
to contact me write to:
janickg ( at ) hotmail ( dot ) com
--

 cosa intendi per "farlo raggiungere da più ISP" ?
in condizioni normali un blocco di IP è raggiungibile solo se si è
connessi tramite l'isp che te li ha rilasciati.
Se uso un isp diverso (la mia linea di backup), quel blocco di IP non
è più raggiungibile visto che le richieste verrebbero instradate
tramite l'altro isp.
Se io in qualche modo riuscissi a far instradare il mio blocco tramite
i due ISP avrei risolto, e il backup diventerebbe una cosa
praticamente trasparente.
Sbaglio?


Beh, già che stai facendo la ridondanza delle linee tantovale
ridondare anche i router.
Potresti mettere due router per gestire le due linee ADSL.
Ogni router sarebbe l'endpoint di un tunnel vpn diverso.
Così sei al sicuro al 100%. Se anche qualcuno ti stacca per sbaglio la
spina del router, la tua VPN sarà su. 
Con banda dimezzata, ma sarai su.

 Con banda dimezzata, ma sarai su.
perchè banda dimezzata? la linea di backup è usata solo per il backup
non per fare load balancing.


grazie a tutti per le info
Che io sappia non è possibile una una gestione condivisa dello stesso
IP.
Dev'essere l'endpoint della VPN a supportare la cosa (gli Zywall ad
esempio hanno nella gateway policy la possibilità di impostare un
gateway remoto di backup).
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 tramite l'altro isp.
[cut]
anche a me risulta quanto detto da Valerio
infatti sto studiando una soluzione per la mia azienda
con linee di backup sullo stesso provider
e loro mi gestirebbero i medesimi ip pubblici
sia sulla primaria (hdsl) sia sul backup (adsl).


 sia sulla primaria (hdsl) sia sul backup (adsl).
eh bhe farlo con lo stesso provider è una passeggiata di salute... :-)
Il problema, e non è la prima volta che capita, è che può succedere
che vadano giù sia HDSL che ADSL. Per questo opterei per due ISP
distinti (può succedere anche in questo caso, ma da quello che ho
visto è più raro).


 IP.
bhe non per mancanze tecniche immagino. Infondo i protocolli di
routing dinamici servono per questo, o no?


 che vadano giù sia HDSL che ADSL.
[cut]
se è per questo può anche precipitare un aereo sul ced,
venire uno tsunami o l'invasione delle cavallette.
in tutti i casi una passeggiata in ginocchio verso Lourdes è d'obbligo ;-)


routing dinamici servono per questo, o no?
A livello tecnico non so, ci sono sicuramente grossi problemi
organizzativi: pensa ad esempio alla gestione degli abusi.
Chi controlla quale provider gestiva l'IP in un determinato momento?
Lo fanno i due provider di comune accordo? C'è un terzo soggetto
super-partes?


 super-partes?
comprendo... ma per dire, se tu guardi il mio misero blocchettino di
IP ha il mio nome! Se io faccio un abuso non credo ci sia bisogno di
contattare il mio provider.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non č da considerarsi pubblico,


 in tutti i casi una passeggiata in ginocchio verso Lourdes è d'obbligo ;-)
io nel frattempo una grattatina me la sono data... :-)


 ;-)
ROFL :)
Ad ogni modo, Edo, una soluzione alternativa sarebbe quella di avere
il controllo diretto sui DNS ed un apparato con due (o più) interfacce
WAN da connettere a linee di diversi providers; le due WAN avranno
ovviamente IP diversi, ma questo non è un problema dato che gli
apparati gestiranno poi il balancing o il fallback; a questo punto per
le VPN non ci saranno problemi (gestione automatica) mentre per
eventuali servizi pubblicati (es. web, ftp...) si potrà decidere se
lavorare
in "balancing" mantenendo attivi entrambi gli IP e pubblicando i servizi
su entrambi, oppure modificare il DNS quando necessario; cosa questa
fattibile anche automaticamente tramite opportuno script

 fattibile anche automaticamente tramite opportuno script
a questo avevo pensato, ma le modifiche al DNS non sono
particolarmente veloci. 
