Newsgroup: it.fan.marco-ditri
Titolo: Linux HA firewalls: how?

I am configuring a simple two-hosts redundant linux firewall. What
should I use to move the virtual gateway IP between the customer-side
interfaces? And why?
Apparently the choices are: keepalived[0], ucarp[1], vrrpd[2],
heartbeat[3] and maybe even something else.
[0] 
http://www.keepalived.org/
[1] 
http://www.ucarp.org/
[2] 
http://sourceforge.net/projects/vrrpd/
[3] 
http://www.linux-ha.org/Heartbeat
Permalink: [
http://blog.bofh.it/debian/id_166
]

 interfaces? And why?
Personalmente ho usato keepalived e sto usando heartbeat; heartbeat mi piace
perchè tengo le configurazioni su una partizione drbd e non devo fare nessun
sync di regole e quant'altro da un nodo all'altro.

 heartbeat[3] and maybe even something else.
Ho usato in passato ucarp ma ogni tanto non funziona...  Ora uso
heartbeat e sono soddisfatto.
Ciao, Micky
-- 
What's this hash prompt on my terminal mean?
Micky Del Favero  -  System Manager  &  BOFH

sync di regole e quant'altro da un nodo all'altro.
Problema: se ciascun firewall è collegato a uno switch e questi sono
collegati tra di loro, se uno degli switch o il suo cavo si rompe,
entrambi i firewall diventano master e continuano ad attrarre il
traffico per la rete, ma uno dei due diventa un black hole. Oops.
Anche io propendo per keepalived, ma per questo non ho ancora trovato
una soluzione...
-- 
ciao, | Those people who think they know everything
Marco | are a great annoyance to those of us who do. (Isaac Asimov)

 una soluzione...
Beh, in una soluzione con Heartbeat i due nodi dovrebbero essere collegati
tra di loro con un cavo cross *E* un cavo seriale...
Proprio per evitare che entrambi diventino master in caso di problemi
nella comunicazione.
STONITH e' eventualmente da considerare, in caso di sistemi molto delicati.
E, sopratutto, il Bonding delle schede di rete e la replicazione totale
degli Switch, consente di aggirare il problema. Se due schede di rete su
due non riescono a comunicare, c'e' VERAMENTE qualcosa che non va, non
solo un cavo staccato o uno Switch a fanciulle passeggiatrici.
Ciao
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 traffico per la rete, ma uno dei due diventa un black hole.
Io ho sempre un cross tra i due, ma mi rendo conto che
non sempre è possibile.

 traffico per la rete, ma uno dei due diventa un black hole.
Vero.
IP esterni al cluster con funzione di quorum.
Direttiva ping e/o ping_group
La cosa difficile è identificare cotesti IP...
-- 
http://bofhskull.wordpress.com/
http://www.linkedin.com/in/skull

 traffico per la rete, ma uno dei due diventa un black hole. Oops.
Io ho anche un cavo cross fra le due macchine componenti il cluster su
cui heartbeat manda i ping, difficile due schede di rete (o due cavi) si
rompano contemporaneamente.


non sempre è possibile.
In effetti dal lato cliente ho una dual-e1000.
Le metterei in bridge, ma mi infastidisce molto il ritardo introdotto
dallo STP.


 
Mettile in active/backup e lascia l'STP solo sugli switch.
Leandro

Mettile in active/backup e lascia l'STP solo sugli switch.
A parte che non è detto che gli switch del cliente supportino lo STP, ci
sarebbe comunque il ritardo sul loro lato dei collegamenti (e in più il
traffico tra uno switch e l'altro passerebbe per il server, che non è
una cosa furba).


traffico per la rete, ma uno dei due diventa un black hole. Oops.
La soluzione corretta in teoria sarebbe:
interface eth2
 link-detect
in zebra.conf.
Bisogna ancora vedere come interagisce con keepalived, ma dovrebbe
essere risolutivo (IOS funziona sempre così e infatti questo problema
non lo ha).


 
Il collegamento active/backup non c'entra niente con l'albero STP. Viene 
utilizzata solamente una delle due schede. Lo switching dall'uno 
all'altro viene fatto guardando il MII della scheda di rete.
Leandro



Questo con quale pacchetto? Al momento il mio piano era di usare
keepalived.


 keepalived.
Penso si riferisca a ifenslave
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 keepalived.
il bonding richiede solo il suo modulo del kernel, e lavora a livello 2
per gestire un pool di connessioni fisiche
keeaplived e gli altri lavorano a livello 3 per gestire un IP virtuale
salendo a livello4, c'è qualcosa che permette di sincronizzare lo stato
dei due firewall (tipo sessioni RELATED, traduzioni NAT)? 
dicono che cisco lo faccia con hsrp. 
non l'ho mai provato, ma sembra che questo ci provi:
http://conntrack-tools.netfilter.org/about.html
MAtteo

 dicono che cisco lo faccia con hsrp. 
Su Linux c'è conntrackd in genere abbinato a ucarp. Provato tempo fa e
funzionava, ma ai tempi era ancora una beta e non mi fidai a metterlo in
produzione. Poi non ne ho più avuto l'esigenza.


 
http://conntrack-tools.netfilter.org/about.html
Funziona, ce l'ho in produzione da più di un anno.

non lo ha).
Sembra funzionare bene, il mio problema al momento è che non c'è verso
di attivare CacheWriteThrough ("syntax error" all'avvio, boh).
