Newsgroup: it.comp.reti.cisco
Titolo: Harware implementazione DMZ

Siccome devo realizzare un progetto (universitario) mi sto imbattendo in cose che non ho mai trattato e sto avendo un po' di problemi.
Il progetto consiste nell'implementare una rete per una azienda (ogni aspetto).
Ho realizzato lo schemo fisico e logico (spero corretto), ma non so che hardware mettere.
Per esempio, sulla DMZ non ho idea cosa mettere come exterior router, interior router e bastion host.
Le richieste che i componenti devono rispettare sono essenzialmente due: gigabit ethernet e supporto per RIP (1,2), OSFP e EGP.
Avete suggerimenti da darmi?
Sono fresco di studi e non ho nessuna esperienza diretta nella realizzazione di una architettura di questo genere, quindi abbiate pazienza.
 
Grazie a tutti per le vostre eventuali risposte.

 Avete suggerimenti da darmi?
 
Mikrotik?
 

Oltre l'errore nel titolo della discussione, Hardware*.

Okei, forse non ho sono stato chiaro nel fare la domanda.
Più che altro io cercavo l'hardware preciso per implementare quei nodi della rete.
Non ha molta importanza - in questo caso - che sia Cisco, Intel o Mikrotik, tanto è un progetto che rimarrà solo sulla carta.
 
Grazie per la tua risposta.

 Grazie per la tua risposta.
 
Dipende da molti fattori: ad esempio dal traffico che dovrai "trattare", dalle dimensioni della tabella di routing (soprattutto quella BGP), dal numero di connessioni da ispezionare, etc.
Non è una cosa così banale...


Immagino, però il problema è questo: essendo un progetto che rimane astratto, non so che "mole" di dati potranno essere generati;
Tipo di traffico? Non c'è una richiesta esplicita, potrebbe essere qualsiasi cosa; quello che posso fare è sceglierlo.
Le uniche richieste che mi sono state fatte sono:
 - cinque edifici ognuno con 250 host;
 - un edificio con copertuna wifi;
 - 1 server email;
 - 1 server web;
 - 2 server dns;
 - 1 server proxy;
 - 1 server backup;
 - accesso ad internet su due edifici.
 
Può aiutare per una scelta piuttosto grossolana dell'hardware?

 cinque edifici ognuno con 250 host
 
Guarda fra i prodotti NetASQ e Juniper: nelle specifiche trovi il 
throughput e il massimo numero di sessioni supportato.
 
Ciao
Luca
 
 


Il fatto è questo: è la stessa situazione che avevo in partenza, con la sola differenza che prima stavo sulla pagina di Cisco, ed ora di questi altri due.
Il mio problema è che non avendo mai avuto esperienza con questo tipo di oggetti, non so neanche su che oggetto orientarmi.
Per esempio, un exterior router da cosa può implementato?
 
Grazie per le vostre risposte.

 Può aiutare per una scelta piuttosto grossolana dell'hardware?
 
Riesci a postare uno schema dell'architettura?
Penso sia fondamentale per capire che tipo di hardware scegliere

 essenzialmente due: gigabit ethernet e supporto per RIP (1,2), OSFP e EGP. 
 
auguri
 
RIPv1 e' - per fortuna - ormai non piu' supportato (spero da tutti)
 
Mi sorgono comunque dei legittimi dubbi su un'universita' che nel 2012 
assegna un progetto con RIPv1 come requisito fondamentale
 
 
-- 
We are the music makers,
And we are the dreamers of dreams
 
 

 differenza che prima stavo sulla pagina di Cisco, ed ora di questi altri due. 
 
Scusa, ma non riesco a capire il tuo punto di partenza.
Scrivi che devi produrre un "progetto universitario": immagino che per 
stilare un progetto, tu qualche conoscenza in materia debba averla :)
 
1250 utenze (e rotti) non sono spiccioli: devi usare macchine adeguate 
come velocitï¿œ di processo e l'analisi di quali e quanti processi devi 
farla tu. Non esistono figure standard per questo genere di cose: devi 
poter dimensionare il traffico medio previsto, considerando i turni di 
lavoro, il tipo di operativitï¿œ delle postazioni (se sono PDA di un 
magazzino ï¿œ un conto, se sono workstations CAD ï¿œ altro paio di maniche) 
e altre cose. Inoltre, se vogliamo, un carico del genere richiede una 
adeguata ridondanza di hardware per sopperire automaticamente ai 
guasti.
 
In sostanza: non ha senso suggerire uno o l'altro apparato in assenza 
di dettagli sull'uso che ne verrï¿œ fatto.
 
Ciao
Luca
 
 

guasti. 
Vi sembrerà un eresia, ma nessuno è mai sceso così nel particolare per realizzare il progetto. Penso che neanche il professore si aspetti una trattazione così specifica.
Lo so, per voi è una bestemmia, perché è il minimo indispensabile per riuscire a costruire una rete che funzioni.
 
Trasporto su digitale lo schema :)
 
Grazie a tutti per il vostro aiuto.
 

 Trasporto su digitale lo schema :)
 
Eccolo; piano con gli insulti per le aberrità ;)
http://img171.imageshack.us/img171/7748/schemafisico.png
 
 

 assegna un progetto con RIPv1 come requisito fondamentale
 
Vabbè, in certe situazioni particolari può ancora essere usato: ad esempio ci sono alcuni apparati speciali (penso ad alcuni DSLAM) che supportano RIPv2 come unico protocollo di routing, oppure macchine molto molto vecchie

 
http://img171.imageshack.us/img171/7748/schemafisico.png
 
 
Questo è un progetto bello grosso, altro che progettino universitario.
 
Lo devi mettere in piedi completamente da zero?
Auguri...
 
Alcune domande:
1)Sei obbligato ad avere i server sparsi per le varie sedi? Avere i server centralizzati e virtualizzati ti potrebbe evitare un bel po' di rogne, nonchè facilità nella scalabilità e nel consolidamento dell'infrastruttura.
2)Quale è il tuo budget (se si tratta di un progetto reale)?
3)Dove ti serve RIP? E dove OSPF? E dove EGP?
4)Il centro stella è senza connettività?

 4)Il centro stella è senza connettività?
Se con centro stella intendi il router C, allora si, è senza connettività diretta.
 
Grazie molte per il supporto.

 oppure macchine molto molto vecchie
 
vecchie quanto? RIPv1 e' obsoleto dal 1993


 OSFP, invece, su tutti i router 0 (A,B,C,D,E).
 
Se hai due connettività puoi far girare BGP sui due router che ti connettono al provider e OSPF internamente. 
Lascia stare RIP e roba tipo gated, possono andar bene per test, ma non in produzione.
 
 

 Lascia stare RIP e roba tipo gated, possono andar bene per test, ma non in >produzione.
 
Si, infatti RIP lo avevo abbandonato per OSFP. 
Scusa, e allora al posto di gated o routed che cosa si usa attualmente?
 
Un'altra cosa: se elimino la DMZ dal router E, lì posso mettere come architettura firewall un Dual-homed? E' usato questo oppure è roba ante-guerra? :D
 
Grazie molte per il tuo aiuto!

 Un'altra cosa: se elimino la DMZ dal router E, lì posso mettere come architettura firewall un Dual-homed? E' usato questo oppure è roba ante-guerra? :D
 
No, io non lo farei.
Farei passare tutto attraverso il traffico dei client attraverso un unico firewall centralizzato. Non ha molto senso avere diversi firewall in vari posti (a meno di non doverlo fare per qualche particolare esigenza).
 
Per quel che riguarda il firewall ti consiglierei di usare Chekpoint (se il budget non è un problema).
 
 

 Per quel che riguarda il firewall ti consiglierei di usare Chekpoint (se il budget non è un problema).
 
Mmm, quindi dovrei mettere - escludendo la DMZ del router B(no?) - un solo firewall sul punto di accesso alla rete pubblica, cioè router E, e nessun altro firewall in giro sulla rete.
 
Mi sto veramente perdendo nel cercare router e firewall. Sono troppi!
L'unica cosa che ho trovato sono gli switch :D.
 
Ma - nella pratica - un bastion host da cosa è implementato?

 Avete suggerimenti da darmi?
 
Tutti si meravigliano per il RIPv1, ma nessuno dice niente dell'EGP?
Intendi il protocollo EGP,
o la categoria piu' ampia che, ahime', ha lo stesso nome? L'EGP mi
sembra molto ma molto piu' desueto
del RIPv1, e perfino piu' desueto del termine "desueto".
 
Se devi specificare hardware/software per far funzionare l'EGP il
compito mi sembra crudele.
 
("router egp" non funziona sul software Cisco recente. Quasi quasi
vado a vedere quando e' stato eliminato.)

 vado a vedere quando e' stato eliminato.)
 
Haha, santo cielo, ho studiato soltanto storia, praticamente, nulla che sia ancora in uso.
Comunque, ho visto che alcuni router Cisco supportano ancora EGP come protocollo di routing; ma forse non ho capito la tua affermazione.
 
Se hai suggerimenti da darmi sull'hardware da mettere per uno screened host, per l'interior router e per i router di frontiera e quelli di area fai pure eh ;-)

 Il protocollo.
 
Allora questo compito e' davvero crudele. In che anno stai costruendo
questo sistema?
 

 vado a vedere quando e' stato eliminato.)
 
Su 
www.cisco.com
 vedo almeno un documento del 2011 con "router egp".
sembra
un documento sull'IOS 12.2 di uno switch. sui router... hmm.. un
documento
sull'IOS 11.0 parla dell'EGP come una cosa storica. E dopo l'11.2 non
lo vedo
piu'.
 
ecco
 
http://www.cisco.com/en/US/products/sw/iosswrel/ps1826/products_command_summary_chapter09186a00802eb163.html
 
 
elenco dei comandi dell'11.3. niente "router egp".
 
La 11.2 e' "end of support" dal 2004.
 
Comunque, l'EGP e' _davvero_ arcaico. Piu' del RIP1.

 Comunque, l'EGP e' _davvero_ arcaico. Piu' del RIP1.
 
Mi fido, mi fido :). Comunque sulle caratteristiche tecniche di qualche router ho trovato scritto che EGP era supportato (c'era pure RIPv1).
 
Che cosa viene utilizzato oggi?

On 9/13/12 9:47 PM, lezan wrote:

BGP
 
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/
 

 Che cosa viene utilizzato oggi?
 
Invece dell'EGP? Il BGP. Ma da.. 20 anni? Di piu'? Se stai cercando
qualcosa che faccia gigabit ethernet
e EGP _allo stesso tempo_, la vedo dura. Puoi chiedere ai prof "EGP?
Davvero? Siete proprio sicuri?"?

Davvero? Siete proprio sicuri?"? 
 
Lo farò :).
 
Per il resto (switch da usare, router exterior ed interior, firewall) avete suggerimenti su quali prendere? Considerato tutto quello che è già stato detto riguardo la scelta su una situazione che poco si conosce.
 
Questo - per esempio - potrebbe essere il router da utilizzare in router {A,B,C,D}0 e 1? 
http://www.cisco.com/en/US/prod/collateral/routers/ps380/data_sheet_c78-519930.html
 

 del RIPv1, e perfino piu' desueto del termine "desueto".
 
rotfl, hai ragione, non ci avevo nemmeno fatto caso
 
ho telefonato al professore e gli ho proposto di usare x25 che facciamo 
filotto


 filotto
 
Credo che abbiamo esaurito tutti i protocolli ormai obsoleti.
 
Idee, invece, su quello che chiedevo? 
 

 gigabit ethernet
 
gigabit dove? le connessioni degli utenti finali? in questo caso come
sono collegati i loro switch
al resto del mondo e come sono connessi i tuoi siti?
 

 Per esempio, sulla DMZ non ho idea cosa mettere come exterior router, interior router e bastion host.
 
Un firewall con piu' interfacce e niente "bastion host"?
 
 

 Un firewall con piu' interfacce e niente "bastion host"?
 
Infatti, anche mettere i bastion hosts sono un concetto un po' datato.
Adesso poi con tecnologie come i context degli ASA ce n'è ancora meno bisogno


E visto che siamo nel 2012 se il compito fosse mio metterei anche
l'IPv6.
 
Per la cronaca, il RIPv1 sara' vecchio ma credo che sia ancora
possibile usarlo sui prodotti
Cisco e Extreme (le due marche che conosco), volendo. L'IGRP mi sembra
piu' morto, e ovviamente
l'EGP molto di piu' come ho detto.

 Cisco e Extreme (le due marche che conosco), volendo. L'IGRP mi sembra
Volendo, c'� anche sul mikrotik. E su openbsd c'� ripd.
Ma penso che sia proprio ora che Riposi In Pace.
 
-- 
Sul problema di Saint Venant:
"Al momento, preferisco il taglio".

 E visto che siamo nel 2012 se il compito fosse mio metterei anche l'IPv6
 
Anche tu hai ragione, ma io già mi incasino con il 4.
 
Avete un router da consigliare per l'interno della rete?
Poi una cosa non ho capito: si diceva di togliere l'altra DMZ e tutti i firewall interni e lasciarne solo uno sulla DMZ rimanente e sull'altro accesso pubblico; quindi nessun altro firewall sugli altri edifici? Solo router e switch?

 Poi una cosa non ho capito: si diceva di togliere l'altra DMZ e tutti i firewall interni e lasciarne solo uno sulla DMZ rimanente e sull'altro accesso pubblico; quindi nessun altro firewall sugli altri edifici? Solo router e switch?
 
 
Certo, porti tutto il traffico attraverso il centrostella.In questo modo hai un unico punto su cui lavorare. 
Con che protocollo hai connettività fra il centro stella e gli altri siti? Se riesci ad avere un protocollo L2 (ad esempio MPLS), potresti anche fare a meno dei router

 meno dei router
 
Come potrai aver capito le mie conoscenze sono scarse, quindi tu mi potresti aver chiesto "mi passi l'acqua" e io ora ti ho come risposta "sono le 14:00".
Comunque - fatta la premessa - io pensavo ci collegare gli edifici sotto i 2Km di stanza con la fibra. Gli altri edifici distanti 3 Km con una VPN. Potrebbe avere senso?
Quindi il centro-stella è collegato all'edificio E e B con fibra.
Pensavo come tecnologia di utilizzare 1000Base-LX del 802.3.

 Pensavo come tecnologia di utilizzare 1000Base-LX del 802.3.
 
Sì, ok.
Ma si sta parlando di L2 (ethernet) o di L3 (IP)?
 
Se hai L2, i router agli endpoint non ti servono.

 Ma si sta parlando di L2 (ethernet) o di L3 (IP)?
 
Pensavo di parlare di L2, ma magari sto dicendo delle profonde cazzate.
 
Grazie tante per il vostro prezioso aiuto.
 

 > Ma si sta parlando di L2 (ethernet) o di L3 (IP)?
 
A che ti serve un router a L2?
 

 A che ti serve un router a L2?
 
Mm, mi sa che allora su questo punto non sono riuscito a capire cosa mi stavi chiedendo. Scusami.

 Certo, porti tutto il traffico attraverso il centrostella.In questo modo hai un unico punto su cui lavorare.
 
Con 250 utenti gigabit per edificio? Ecco perche' ho chiesto dei
collegamenti fra edifici.
 
Cosa fanno con i loro collegamenti gigabit? Abbiamo etherchannel con
piu' collegamenti da 10 gig
fra gli edifici? Interfacce da 40 o 100 gigabit?
 
Stack di Extreme X450 per i singoli edifici? O magari X460 o 480?
Visto che non sono soldi veri,
mettiamo collegamenti assurdi fra i vari siti. Decine di gigabit.

 Visto che non sono soldi veri, mettiamo collegamenti assurdi fra i vari siti. > Decine di gigabit.
 
Capisco che è piuttosto allettante, ma non vorrei fare un preventivo che è la fine del mondo; devo comunque essere abbastanza reale.
 
Non so, magari non tutti gli edifici devono avere 1 giga sull'hosts. Così, giusto per differenziare e levare un po' di monotonia.
 
Comunque non mi è chiaro come far passare tutto il traffico del router E al centro-stella. Con cosa dovrei farlo?
E poi, non diventa uno spreco questo lungo percorso? Cerco di dare delle minime argomentazioni: mettiamo che si voglia comunicare con un host dell'edificio E; si entra sull'edificio E, ma si percorrono prima 1750 metri per arrivare al centro-stella, poi si passa per il firewall e di nuovo 1750 metri per giungere finalmente all'host.
Dite che il gioco vale la candela?

 Sono stackable, quindi ne puoi unire fino a 3 (mi sembra) e li gestisci come uno solo.
 
Fino a 9. 4 per lo stack power.
 
-- 
BOFH excuse #222:
 
I'm not sure.  Try calling the Internet's head office -- it's in the book.

 Capisco che è piuttosto allettante, ma non vorrei fare un preventivo che è la fine del mondo; devo comunque essere abbastanza reale.
 
Ecco perche' sto chiedendo perche' stai dando gigabit a tutti.
 

 Capisco che è piuttosto allettante, ma non vorrei fare un preventivo che è la fine del mondo; devo comunque essere abbastanza reale.
 
10 giga per un server non e' niente di speciale.
 
Guarda per esempio:
 
http://www.extremenetworks.com/products/summit-x650.aspx
 
 
uscito nel 2009 o anche prima, qualche decina di porte 10 giga
 
Per esagerare, abbiamo:
 
http://www.extremenetworks.com/products/blackdiamond-x.aspx
 
 
fino a 192 porte da 40 giga.
 

 Con 250 utenti gigabit per edificio? Ecco perche' ho chiesto dei
 
250 utenti gigabit mica fanno 250 gigabit di traffico :-)


Certo, ma piu' di 1 gigabit, occasionalmente, magari si'.

 fino a 192 porte da 40 giga.
 
Ma questi dovrebbero andare in sostituzione del 3750? Servirebbero per la rete di backbone dell'azienda?
 
Quindi dite che sia meglio non stare sotto i 10 gigabit per la rete di backbone?
Magari possono mettere solo da alcune parti la gigabit sugli hosts, penso sia una scelta che accade spesso nella pratica. Un edificio può avere necessità di di banda maggiore (sviluppo multimediale di qualcosa) rispetto all'edificio dove ci sono gli uffici amministrativi (si possono forse accontentare di una fast ethernet).
Potrebbe essere una soluzione reale?

 Potrebbe essere una soluzione reale?
 
Si'.
 
Nota: io non progetto le reti, e non sto dicendo che le tue proposte
siano sbagliate.

 siano sbagliate.
 
Certo, ma sicuramente avete una maggiore esperienza su tutto il fronte.
 
Quella cosa che non avevo capito e non è ancora chiara: sul edificio E e l'istradamento di tutto il traffico verso il centro-stella.
Con cosa dovrei fare l'istradamento verso l'edificio C?
 
Per i firewall ho optato per i Check Point.

 Gran porcata?
 
Più che altro non ne capisco il senso.
è inutile dare Gigabit se gli utenti useranno solo ssh.
Devi prima capire le esigenze degli utenti e dopo definire i requisiti anche in termini di connettività di accesso.

 in termini di connettività di accesso.
 
Stavo pensando ad un azienda che si occupa di sviluppare contenuti multimediali (lo avevo messo sopra, ma nascosto forse).
L'edificio B aveva i server e parte dello sviluppo; l'edifici C ed E sviluppo di altra roba; A, invece, amministrazione; D aperta al pubblico.
In questo senso pensavo di fare un backbone per l'edifici B, C ed E di 10 gigabit, mentre per A e D di un gigabit.
Le interfacce hosts del primo caso saranno ad 1 gigabit, mentre nel secondo caso fast ethernet.
Le esigenze del secondo caso saranno lavori di ufficio, quindi nulla di pesante, mentre nel primo caso gli hosts avranno necessità di scambiarsi contenuti multimediali, e quindi dovrebbero godere di una buona banda.
 
Uno scenario plausibile e corretto?

 E su openbsd c'ï¿œ ripd.
 
no, ripd e' v2 only
 
-- 
We are the music makers,
And we are the dreamers of dreams
 
 

 Okei, ma il ruole che dovrebbe svolgere un X8 è quello svolto dal 3750, no?
 
No, l'X8 non ti serve assolutamente. Gli switch X250 e X450 magari
si', ma l'X8 e'
esageratissimo.


Credo che il punto di inzio del progetto sia effettuare un assessment delle esigenze e poi seguendo anche la metodologia PPDIOO di Cisco , suddividere il progetto in step:
- quali sono le reali esigenze poste nel progetto?
- quale risultato ci si attende?
- quali sono le informazioni che si conoscono?
 
partendo da queste si può sviluppare un piano che potrà arrivare alla definizione dei singoli apparati.
Se si vulle saltare la parte di assessment e planning e partire subito col design allora bisognerà avere le idee chiare.
Ad esempio: mi serve realmente uno switch con porte a 1Gb? Ad ogni interfaccia gigabit andrò a connettere un solo device o più di uno (vedi ip phone)?
Suddividiamo l'architettura in 3 parti:
- access : comprendenti switch di accesso
- distribution: comprendenti switch con interfacce in fibra su cui convergono i link dei vari switch di accesso
- core : comprendenti apparati di routing e firewalling
 
 
Nel primo livello vista anche la mia esperienza in ambienti che comprendevano dai 3 ai 6 mila utenti per sede, posso consigliare switch che abbiano alemno 48 interfacce fastethernet e 4 gbit. Sarà necessario tenere in considerazione il valore della oversubscription (di solito 20:1 a livello access/distribution) e cioè il rapporto di dimensionamento del link tra la parte utenti e la parte fibra. Per cui ad un ipotetico valore di 48Gbit di utenza equivale almeno 2,4Gbit di link in fibra.
 
Se si vuole tenere basso il costo i vendor potrebbero essere HP (con i Procurve) o Huawei (che produceva l'hardware di Cisco anni fa). Se si vuole una livello accessi robusto allora Cisco (i 2960  vanno più che bene se non si vuole avere routing anche sugli apparati di livello access. Solitamente si consilgia di spostare il layer 3 fino a livello di core dove andranno piazzati  degli switch modulari multilayer vedi catalyst 4500, 6500 etc...) è il vendor di riferimento.
 
Ma bisogna anche tenere in considerazione la tipologia di cablaggio in rame e fibra che ad oggi annoverano la cat6/6a come standard di riferimento per il primo e om3/4 - Sx per il secondo (ammesso che la distanza sia minore ai 550m altrimenti si va su fibra om4 di tipo lx).
 
Se la rete dovrà essere affidabile andrà preventivato che ogni piano ed ogni palazzina dovrà essere connessa in doppia fibra ai vari switch del livello distribution o core così da garantire la disponibilità di un link di backup per ogni eventuale fault.
 
Per cui in ogni piano andrà installato uno stack di switch che dovrà coprire almeno il 150% delle utenze (cioè avere almeno qualche interfaccia in più in caso di futuro aumento degli utenti).
Gli stack dovrebbero essere connessi in doppio link. Consigliato 2 interfacce gbit per ogni link configurate in etherchannel.
 
Molto importante è l'uso dello spanning tree (possibilmente di tipo fast così da evitare un ricalcolo eccessivamente lento).
 
Passando a livello distribution (se lo si include) saranno necessari degli apparati modulari capaci di ospitare più lame con almeno 24 interfacce Gbit (connettere una o più palazzine a tale livello su tecnologia 10Gbit non è conveniente nè utile almeno che non si usino cluster di calcolo parallelo :)) Il rapporto di oversubrscription tra distribution e core sarà di 4:1 (basta fare i calcoli per tirare fuori il valore.)
Questo livello intermedio consente di costruire un livello core che sia ottimizzato per il routing. A volte si può usare questo livello come gateway per le varie subnet e poi configurare il routing.
 
Molto importante, quando si sceglie il tipo di protocollo layer 3, è tenere in considerazione il numero di subnet e la tecnologia scelta. Necessario scartare protocolli non standard quali Eigrp (proprietario Cisco). Il rip ormai è obsoleto. e se non si hanno tante subnet allora il routing statico è una manna dal cielo se unita ad una ottimizzazione quale l'uso del vlsm (Variable Length Subnet Masking) che permette di semplificare il numero di route.
 
A livello core il design è molto importante. Qui si potranno usare protocolli di routing dinamico se si vuole garantire una certa affidabilità dell'instradamento e tempi di convergenza accettabili. Sicuramente Ospf è il padrone incontrastato.
 
su questo livello convergerà tutto il traffico e quindi la capacità di calcolo sarà importante. Se si è in presenza di un unico campus allora un buon switch modulare multilayer andrà più che bene. se invece si è in presenza di più sedi allora almeno una coppia di router in hsrp,vrrp o glbp andranno benone. ma sempre con almeno un apparato multilayer su cui  convergeranno i link che arrivano o dagli stack o dal distribution layer.
 
Relativamente all'ambito Server e Dmz è molto importante che l'ahrdware venga scelto in base al throughput. Da tenere in considerazione che il valore di oversubscription in questo livello va da 3:1 a 2:1 (a volte anche 1:1).
Quindi più elevato è il traffico più potente dovrà essere il firewall (firewall throughput). Un esempio pratico è avere un firewall con througput di almeno 10-15Gnit per un datacenter con 150-180 server. Nel caso della dmz si dovrà tenere in considerazione che il traffico andrà nella maggior parte dei casi da tale zona verso internet con elevata limitazione del traffico tra dmz e lan (a volte si configura il tutto per permettere solo il management dei server). Proprio perchè si parla di Dmz. In questo caso un firewall con througput ad 5gbit va più che bene. Nel caso di simil-dmz (rete logica o fisica ad hoc per proteggere i server) allora un buon firewall con throughput a 10Gbit dovrebbe andar bene.
 
Si scelga sempre un vendor che supporti protocolli di routing standard. I più conosciuti sono Checkpoint,  Juniper, Stonesoft, Astaro(Sophos), Palo Alto etc...
Il primo costa tanto ma è faicle da gestire, il secondo è astruso ma i costi sono contenuti, il terzo e quarto hanno un'ottimo rapporto qualità - prezzo ed sono facili da configurare e gestire.
 
Il routing tra le zone protette da firewall ed il core potrebbe prevedere l'uso di routing statico (come sopra descritto) o ospf.
 
Si escluda Mpls, Bgp o Is-Is se non si è in presenza di Wan estese. Anche se a volte ho visto usare il bgp per instradare il traffico tra due o più palazzine solo per ler sue proprietà di convergenza rapida (rapida è un parolone).
 
 
Purtroppo ho dovuto semplificare ma volevo dare alcuni consigli che è bene tenere a mente quando si effettua il design di una rete.


 
Ecco, devo fare ancora molta strada perché io sono andato in confusione anche sulla tua semplificazione.
Grazie moltissimo, perché ora mi è un po' più chiara l'architettura di una rete.
Se poi risponderai alle restanti domande, penso che comprendorò quasi tutto :).
 
 

 Se poi risponderai alle restanti domande, penso che comprendorò quasi tutto :).
 
 
spero ti sia stato d'aiuto. se ti serve fai un fischio. :)

 spero ti sia stato d'aiuto. se ti serve fai un fischio. :)
 
Ffff, fffff.. !
Senza il vostro aiuto avrei fatto il solito progettino standard. Grazie.
Ci metterò molto di più degli altri, ma in questo modo sto capendo un sacco di cose ed è sicurmente un progetto che si avvicina molto di più alla realtà. 
 


Faccio una correzione.
penso di aver esagerato (avevo capito male) con i doppi link; infatti gli switch distribution devono avere un solo link a switch access e non doppio come avevo detto prima; cioè sarà la coppia di switch distribution ad avere due link sul singolo switch access. Giusto?
Di conseguenza diminuisce anche il numero di moduli che avevo scritto prima.( 5 di meno per ogni switch distribution).


Di seguito alcuni piccoli dettagli:
- la dorsale in fibra tra le palazzine potrebbe essere in fibra a 10gbit LR (link tra i vari distribution)
- la dorsale verticale interna alle palazzine dovrebbe essere in fibra 1gbit sx (link tra switch access - switch distribution. ricorda di prevedere almeno un doppio link. un consiglio: una coppia di interfacce in fibra connessa al primo distribution, ed un'altra al secondo; non utilizzare tutte le interfacce in fibra di uno switch. es: prevedi due interfacce dello switch n°2 e due dello switch n°3 o 4 - a seconda degli siwtch che avrai).
- la dorsale orizzontale in rame cat6a con cablaggio sftp (con schermatura e maglia di protezione). calcola almeno due punti rete per utente (in caso di fault di una tratta avrai un altro plug attivo ed utilizzabile).
 
Hardware necessario:
 
- access layer: cosigliati 2960X (da prevederne almeno 1 o due in più per la gestione dei fault) con 4 interfacce gbit per ogni switch
- distribution: 2 x 4507E con supervisor V10GE (comprende due interfacce 10Gbit + 4sfp a 10Gbit) ed almeno 2 moduli con 24 interfacce gigabit (sfp)
- core : 2 x 6513-E con due moduli supervisor VS-S2T-10G per singolo 6500 (consigliato nei core per garantire l'alta affidabilità in caso di fault del modulo) e configurazione del vss (virtual switching system - permette di usare i due 6500 come se fossero un solo apparato. unica console, unico switch virtuale ma ridodanza al 100%), almeno 4 moduli con 24 sfp 10Gbit + 2 moduli con 48 interfacce 1gbit ethernet (questa configurazione dovrebbe aggirarsi sui 180K€ a switch).
 
Relativamente al routing. si parla di routing statico quando si indica manualmente come il traffico dovrà essere instradato attraverso l'uso di rotte singole. è semplice da gestire ma non è consigliabile in grandi infrastrutture dove gli instradamenti sono soggetti a modifiche. il routing statico difatti obbliga l'aggiornamento delle tabelle di routing su tutti gli apparati in caso di modifica. il routing dinamico consente di automatizzare questo processo e di migliorare il calcolo di eventuali path in caso di fault di un link.
 
Se l'infrastruttura presenta i 3 livelli access, dtistribution e core allora conviene configurare, nel tuo caso, gli switch distribution come gateway per tutti i client del livello access ( gli switch 2960 sono solo switch di layer 2.). e poi a loro volta si occuperebbero di instradare il traffico verso il core che dovrebbe diventare il punto di convergenza tra le varie reti. Ovviamente configurare il routing sugli switch distr. ti consentirebbe di selezionare quali subnet andranno instradate verso il core e quali no. Insomma avresti la possibilità di gestire meglio il traffico.
 
Osfp andrebbe configurato sul core. il bgp, se non sei un carrier e non hai a che fare con autonomous system, non ti serve. anche perchè nella maggior parte dei casi il routing verso reti pubbliche verrebbe gestito dal carrier.
potrei consigliarti di usare routing statico sul distribution e poi ospf sul core. altrimenti se non hai molte subnet usare il routing statico. su core e distribution. 
 
il costo di questa infrastruttura ipotetica potrebbe aggirarsi sui 2M€. compresi anche eventuali licenze di maintenance.
 
se ti serve qualcos'altro chiedi pure.

 se ti serve qualcos'altro chiedi pure.
 
:( sono già qua.
Sto approfittando troppo?


 
http://imageshack.us/a/img43/1042/provabj.png
 


il diagramma va bene. un dettaglio aggiuntivo può essere l'uso di un link tra i due 6500 ed i 4500. Connetti il 4500-A al 6500-B ed il 4500-B al 6500-A così da avere anche i link tra core e distribution ridondati.

 
si. che puoi usare per instradare il traffico verso il core.



 
Non sono troppi 250 IP per un piano dove ce ne sono solo 50?
Attualmente avevo fatto una cosa del genere:
Piani: 
192.168.0.0/23
 subnetting /26
Così ottenevo 8 subnets da 62 hosts ciascuna.
Piano 1: 
192.168.0.0/26
;
Piano 2: 
192.168.0.64/26
;
Piano 3: 
192.168.0.128/26
;
Piano 4: 
192.168.0.192/26
;
Piano 5:  
192.168.1.0/26
;
da 192.168.1.64 a 192.168.1.254 sprecati.
 
Si può fare? Troppi sprechi? Non c'è motivo? Mi complico la vita?
 
Ho un dubbio - che forse deriva da non aver compreso abbastanza l'architettura 3-tier e il ruole del il livello core -: il core deve andare anche sugli altri edifici? In maniera intuitiva a me verrebbe da dire di no, anche perché abbiamo detto che il collegamento tra edifici avviene attraverso gli switch distribution.
 
 


Avevo dimenticato lo schema. Accidenti a me.
 
http://imageshack.us/a/img594/8619/provab2.png
 
 

Il giorno venerdì 21 settembre 2012 17:07:10 UTC+2, lezan ha scritto:

Il core dovrà assere connesso ai vari switch di livello distribution.
Relativamente al subnetting, per esperienza, ti consiglio di usare singole subnet /24. per facilitarti la gestione e le eventuali modifiche future o futura scalabilità. Inoltre avresti uno standard di configurazione (client con gateway 192.168.x.1 e subnet mask 255.255.255.0) che ti consentirebbe di facilitare eventuali attività di troubleshooting . (inoltre dovresti apportare le configurazioni anche sugli switch che fungono da gateway ed avresti, nel caso di utilizzo di hsrp, vrrp o glbp, un uso di almeno 3 ip per singola interface vlan).

 Relativamente al subnetting, per esperienza, ti consiglio di usare singole subnet /24. per facilitarti la gestione e le eventuali modifiche future o futura scalabilità. Inoltre avresti uno standard di configurazione (client con gateway 192.168.x.1 e subnet mask 255.255.255.0) che ti consentirebbe di facilitare eventuali attività di troubleshooting . (inoltre dovresti apportare le configurazioni anche sugli switch che fungono da gateway ed avresti, nel caso di utilizzo di hsrp, vrrp o glbp, un uso di almeno 3 ip per singola interface vlan).
 
Io credevo di fare una cosa figa ad utilizzare subnetting ed improbabili subnet mask per risparmiare indirizzi. In effetti ho trovato molte difficoltà, mi confondevo moltissimo.
 


Solitamente il core è il punto nevralgico di una rete. Il suo compito è instradare il traffico tra la tua lan e altre reti esterne o interne che siano. E' fondamentale che il livello distribution sia connesso a questo.
 
Relativamente al subnetting ti posso assicurare che le cose fighe nella maggior parte dei casi non funzionano o sono talmente complicate che finiresti per passare il tuo tempo a fare troubleshooting e capire cosa non va. Per il principio del rasoio di Occam: a parità di fattori la spiegazione più semplice è da preferire. :)
 
posta una bozza del progetto così se vi sono dettagli da aggiungere posso indicarteli.
 
a presto