Newsgroup: it.comp.reti.ip-admin
Titolo: fault tolerance

Ciao a tutti,              
 
sto pensando alla possibilita' di rendere fault tolerant una
infrastruttura di rete raddoppiando tutti gli apparati.
 
Al momento mancano il secondo firewall e il secondo switch,
mentre esistono gia' 2 ups, due router, due adsl.
 
I firewall lavorerebbero in modalita' attivo/stand-by e sono
in grado di gestire le vlan sulle interfacce.
 
Per quanto riguarda i server la fault-tolerance riguarderebbe
solo l'alimentazione la rete (due interfacce in bonding)
e i dischi (in raid).
 
I miei dubbi riguardano l'aggiunta del secondo switch e il 
collegamento dei router agli switch visto che i router sono
dei semplici apparati con piu' prese ethernet che pero' sono
semplicemente un piccolo switch (o hub) integrato nel router 
e non gestiscono nulla riguardo vlan, bonding ecc.
 
Lo schema che ho pensato potrebbe funzionare oppure devo 
rinunciare a collegare i router a entrambi gli switch ?
 
 
----------------                             ----------------
|  switch 1    |          ---------          |  switch 2    |
|              |          |router |          |              |       
|       vlan-1 |----------|adsl-1 |----------| vlan-1       |       
|              |          ---------          |              |       
|              |          ---------          |              |       
|       vlan-2 |----------|router |----------| vlan-2       |       
|              |          |adsl-2 |          |              |       
|              |          ---------          |              |       
|              |  WAN                   WAN  |              |       
|     vlan-1e2 |-------\             /-------| vlan-1e2     |
|              |       |             |       |              |       
|              |   ---------     ---------   |              |       
|              |   |  fw 1 |     |  fw 2 |   |              |       
|              |   |       |-----|       |   |              |       
|              |   |       |     |       |   |              |       
|              |   ---------     ---------   |              |       
|              |LAN |  |             |  | LAN|              |       
|       vlan-3 |----/  |             |  \----| vlan-3       |       
|              |       |             |       |              |       
|              |  DMZ  |             |  DMZ  |              |       
|       vlan-4 |-------/             \-------| vlan-4       |       
|              |                             |              |       
|              |      ----------------       |              |       
|       vlan-4 |------|   server 1   |-------| vlan-4       |       
|              |      ----------------       |              |       
|              |      ----------------       |              |
|       vlan-4 |------|   server 2   |-------| vlan-4       |
|              |      ----------------       |              |
|              |                             |              |
|              |-----------------------------|              |
|              |-----------------------------|              |
----------------                             ----------------
 
 
-- 
Stefano L.

 rinunciare a collegare i router a entrambi gli switch ?
 
Puï¿œ funzionare a patto che tu configuri correttamente lo spanning tree
anche sui router.
 
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

 anche sui router.
 
E' proprio quello il mio problema, quei router non sanno neanche cosa sia lo 
spannin tree.
 
-- 
Stefano L.

 spannin tree.
 
 
Uhm....
 
http://en.wikipedia.org/wiki/Common_Address_Redundancy_Protocol
 
 
nel caso, questo coso (tra l'altro) supporta CARP
 
http://www.pfsense.org/
 
 
 
 

 spannin tree.
 
Se non ha la minima concezione di spanning tree va bene ugualmente. Si
comporterà come un hub trasparente, quindi ci pensano gli switch a
buttare giù una delle due interfacce e sistemare la cosa.
 
In questo caso la cosa importante è che non attacchi null'altro al
router e che non usi uno spanning tree per vlan se porti le vlan al router.



 
 
Questo e' esattamente quello che farebbero i firewall, ma il mio problema 
non sono i firewall, sono i router.
 
-- 
Stefano L.

 router.
 
Ok, grazie, vado a studiarmi un po' di spanning tree.
 
-- 
Stefano L.

 e non gestiscono nulla riguardo vlan, bonding ecc.
 
beh, dipende da quale supermarket vai..... se invece provi a rivolgere 
la tua attenzione altrove vedrai che (ad esempio, non esaustivo) 
utilizzando un paio di fortinet ben configurati (forse qui sta 
l'inghippo, nella configurazione dico!) avresti un canale HA (High 
Avaibility) b che ti garantirebbe la sopravvivenza delle connessioni 
verso il mondo esterno.
 
I prerequisiti li hai tutti, non sottovalutare le offerte sul mercato 
che trovi... certo non ti forniscono router e know how a 30 euro ma 
tutto ha un giusto costo ed un giusto valore...
 
 
questa mia vale anche come risposta a quanto detto da ZipMan:
 
"In questo caso la cosa importante è che non attacchi null'altro al
router e che non usi uno spanning tree per vlan se porti le vlan al
router."
 
che è correttissimo e l'oggetto "router" lo devi considerare come unico 
anche se composto da due cosi fisici in HA....

 non sono i firewall, sono i router.
 
 
configuri due pfSense in CARP e connetti ciascun pfSense ad entrambi
i routers WAN (che dovranno avere due porte "interne" ciascuno) e poi
in pfSense configuri il load balancing/fault-tolerance in modo da usare il
router primario per default ed attivare il secondario solo se il primario 
non
ha connessione o non è raggiungibile
 


ma in questo modo NON hai un vero e proprio fault tolerance, hai solo la 
persistenza della connessione verso ip esterni alle tue reti, internet 
compresa....
 
Tanto per dire non continui ad avere attiuvi servizi quali vpn o 
mappature persistenti...
 
io per fault tollerance intenderei che anche in caso di rottura o 
cedimento di una linea continuano ad essere in funzione *tutti* i servi 
associati al nodo.
 
-- 
per far danni mi occorre la tua password di root

 associati al nodo.
 
vero; stavo solo cercando di fornire una soluzione semplice riferendomi
allo "schema" postato dall'OP non di implementare un vero e proprio
sistema con fault-tolerance completa; tieni comunque presente che, nel
caso di vpn o simili (e comunque nel caso di pfSense in CARP) sarà
non solo necessario ma, direi obbligatorio, che la configurazione sia la
stessa per entrambi i box (il che include anche le VPN ed il resto); poi,
sempre restando sulle VPN c'è da dire che COMUNQUE una config di
quel tipo non garantirebbe la "sopravvivenza" delle stesse nel caso in
cui si verificasse un problema sulla WAN primaria dato che per fare una
cosa del genere sarebbe necessario/opportuno avere un tipo diverso di
accesso WAN ;-)
 
 
 
 
 

 accesso WAN ;-)
 
qui non ho capito se ti riferisci a pfsense o ad un HA, ti posso solo 
dire che in HA verrebbero surrogati all'istante tutti i servizi sulla 
sopravvissuta apparecchiatura tanto che non ci si accorge nemmeno del 
fatto che sia andato in fault un ramo, almeno con fortinet, ma da quel 
che so anche molti altri produttori hanno apparati abbastanza 
accessibili per cose del genere...

 dire che in HA verrebbero surrogati all'istante tutti i servizi sulla 
 
parlavo del setup proposto dall'OP; in quel caso, avendo due WAN
separate con due diversi IP e non "aggregate" a monte; l'eventuale
failure del router principale butterebbe giù le VPN attestate sull'IP
primario
 
 

 primario
 
si e no, se si utilizza un dns esterno anche gratuito come un no-ip lo 
switch sull'indirizzo esterno avverrebbe in automatico e credo potrebbe 
andare anche nella soluzione proposta dall'OP....

 potrebbe andare anche nella soluzione proposta dall'OP....
 
come hai scritto... si e no, dipende dalla VPN (che in qualsiasi caso
avrebbe comunque un "offline", seppur temporaneo, il che significa che
eventuali connessioni esistenti verrebbero comunque perse); ad ogni
modo, nelle specifiche dell'OP non mi sembra ci fosse qualcosa riguardo
VPN o VoIP... ma ok, vale comunque la pena parlarne