Ervaringen goedkope loadbalancing routers/ firewalls

[Verwijderd]

In mijn studentenhuis zijn twee ADSL lijnen; een 24 Mbit ADSL2+ met 32 IP adressen en een 8 Mbit ADSL lijn met 8 bijbehorende IP adressen. Er zijn circa 35 bewoners met evenveel PC's . De ADSL lijn wordt binnenkort opgewaardeerd naar ADSL2+. Het zou dan interessant kunnen worden om te kijken naar een loadbalancing router, maar het is wel handig als we de publieke IP adressen kunnen blijven gebruiken, omdat een aantal bewoners hun eigen services draaien en portforwarding biedt met zoveel mensen geen oplossing meer. Ik heb gekeken naar een goedkope oplossing en vond deze apparaten voor onder de € 300,00. Bovendien zit ik ook nog met een vraagje omtrent het gebruik van de publieke adressen.

Linksys RV042 10/100 4-port VPN Router
Dit apparaat ondersteunt loadbalancing, failover en "one-to-one NAT". Dit laatste maakt het volgens mij mogelijk om de publieke adressen te blijven gebruiken, maar ik weet dat dus niet zeker. Te koop voor circa € 185,-

BaseWall VPN2000
Dit apparaat ondersteunt loadbalancing, failover en "multi-DMZ". Dit laatste maakt het volgens mij mogelijk om maximaal 8 publieke adressen te blijven gebruiken, maar ook hier weet ik niet precies hoe het zit. te koop voor € 350,- maar de voorloper is ook nog steeds op de markt te verkrijgen en kost circa € 290 (de Hotbrick LB2).

Hawking H2BR4
Dit apparaat ondersteunt "DMZ functions", maar wat dat precies inhoudt kan ik niet achterhalen, laat staan of het toereikend is voor mijn situatie.Te koop voor circa $ 60,-, maar niet in Nederland op de markt te vinden.

Wat zijn jullie ervaringen met deze 3 goedkope loadbalancers, welke voldoet nu specifiek aan mijn wensen., namelijk het kunnen blijven gebruiken van alle 32+8 (min 2 voor de adsl modems, en 2x2 voor broadcast/ multicast adressen) voor de client PC?

[TD-er]

Jammer dat je nog geen antwoord op je vraag gekregen hebt.
Ik zit hier namelijk op mijn werk naar min of meer hetzelfde te kijken en ik zit hier dus ook met 2 verschillende lijnen van verschillende providers. (ook nog eens behoorlijk verschillend in snelheid)
Wat heb je ondertussen zelf besloten te nemen, of is dat een Linux-router geworden met vrij uitgebreide ip-tables enzo?

Edit:
Oh en DMZ is de-militarized-zone. Wat ik ervan begrepen heb dus een computer achter de router die volledig vanaf buiten bereikbaar is. (uitgebreide portforwarding dus)

[ Voor 19% gewijzigd door TD-er op 01-11-2005 15:22 ]

[bartvb]

Waarom geen linux router gebruiken? Klinkt alsof er in huis voldoende kennis aanwezig is om dat fatsoenlijk op te zetten. Voordeel van zo'n router is dat het veel flexibeler is dan een gekochte doos ooit zal zijn. Verder heb je vrijwel 0 kosten aangezien je een antieke Pentium 200 al kan gebruiken als router. 3 netwerkkaartjes er in, configureren en klaar. Load balancing, firewall, NAT, trafficshaping, etc, etc. Maar voorwaarde is dus wel dat er mensen aanwezig zijn met (behoorlijk wat) linux en netwerken kennis. Als er niemand in huis is die weet wat een DMZ is dan wordt dat misschien toch wat lastig.

Wat jij wilt klinkt iig als een behoorlijk complexe setup. Ik vraag me af of er doosjes zijn van onder de 300euro die dat kunnen op een fatsoenlijke manier.

[TD-er]

Ik vraag mij af of een P200 krachtig genoeg zal zijn om > 8Mbit te NAT-en en zeker als dat ook nog eens 2 ADSL2+ lijnen zijn. Aan de andere kant een P3 500 is ook al wel goedkoop te krijgen.

Maar goed, als ik naar mijn eigen situatie kijk, dan is het niet zo dat ik het niet op zou kunnen zetten met een Linux bakje, maar het moet ook door mijn collega's te onderhouden zijn.

[Verwijderd]

Heb inmiddels de Linksys RV042 gekocht, vooral vanwege de goede naam die CISCO heeft (Linkys is onderdeel van CISCO), de slechte reviews over Hawking op internet en de (te) hoge prijs voor de Hotbrick/ Basewall.

Mijn ervaringen zijn dat deze router stabiel is, uptime nu reeds 1 maand, en heb nog geen serieuze bugs kunnen ontdekken, dit i.t.t. de vele home/ MKB routers die ik al dan niet via mijn werk heb leren kennen. Wat me wel opvalt is dat het vrij lang duurt voordat bepaalde configuratiewijzigingen effectief worden; denk hierbij bijvoorbeeld aan wijzigingen in het "System Management" panel, zoals "Protocol Binding" (verkeer over een bepaalde poort of van/ naar een bepaald privaat/ publiek IP via één bepaalde lijn). Volgens mij werkt "Network Service Detection" ook niet helemaal lekker. Als één van de verbindingen wegvalt en je neemt de "Retry Count" en de "Retry Timeout" in ogenschouw dan verwacht je na een bepaalde tijd niet meer dat je de "verkeerde" verbinding krijgt. Het lijkt alleen veel langer te duren voordat de router het door heeft dat een verbinding is weggevallen dan je op grond van die twee parameters zou kunnen verwachten. Misschien dat ik de functie van die twee parameters toch niet goed begrijp. Waar ik ook een beetje van baal is dat je bij eerder firmware versies geen "max bandwidth" voor de 2 lijnen hoefde op te geven, maar dat er een algoritme was genaamd "intelligent balancer" gebaseerd op "weighted round robin" dat dit voor je deed. Nu werkt één van de twee lijnen in mijn geval niet helemaal goed en betekent dat dus dat ik bijna elke week de router moet herconfigureren, omdat de balancing ratio niet klopt. Ik heb nog gezocht naar oude firmware versies, maar die niet 1-2-3 op het net kunnen vinden. Het one-to-one NAT is niet zinnig in mijn situatie. Je kan een bepaalde pc vanaf het internet bereiken via een publiek IP adres, maar als deze het internet opgaat dan doet hij dit niet via hetzelfde publieke IP adres, maar via het IP van de WAN poort. Multi-DMZ was hier waarschijnlijk wel zinvol geweest.

Kortom, een goed werkend apparaat, maar met een paar tekortkomingen en niet met alle functionaliteiten die ik wens.

[ Voor 6% gewijzigd door Verwijderd op 30-11-2005 12:49 ]

[Occy74]

Ik heb dezelfde Linksys router.
Werkt perfect en de downloadsnelheden zijn altijd top met bv Newsleecher en LeechGet.. Zolang er maar meerdere connecties worden gemaakt anders heeft het geen nut..

Mijn stabiliteitservaringen zijn iets minder, minimaal 2x per maand reboot de router uit zichzelf..
De verbindingen zijn dan wel weer snel in orde maar toch, ik heb niet de laatste firmware erop want daarmee werkte het load-balancing niet, terug geflashed en alles liep weer..

Geen idee hoe dan komt..

[TD-er]

Goed dat je nu even met een review komt, want ik sta op het punt deze router te kopen voor op mijn werk.
Het is de bedoeling dat er een mailserver achter komt te hangen die dus niet zelf hoeft te bepalen via welke verbinding hij moet gaan versturen en dat het internet verkeer dus enigzins gebalanceerd wordt.
De mai ldie van buiten komt is natuurlijk makkelijk te balancen, door 2 MX -records in de DNS op te nemen, dus dat zal niet een probleem zijn.
De geforwarde poortjes zullen dus poortje 25 zijn vanaf beide verbindingen en als het enigzins mogelijk is wil ik vanaf een paar IP-adressen poortje 80 forwarden (dus dat ik vanaf thuis wat dingen kan onderhouden). Is dat laatste mogelijk in de router?

Hoe bevalt de VPN-mogelijkheid?

[TWeaKLeGeND]

Is een soekris bord snel genoeg om 2x20mbit te kunnen routen?

[Verwijderd]

TD-er schreef op woensdag 30 november 2005 @ 02:06:
Het is de bedoeling dat er een mailserver achter komt te hangen die dus niet zelf hoeft te bepalen via welke verbinding hij moet gaan versturen en dat het internet verkeer dus enigzins gebalanceerd wordt.
De mail die van buiten komt is natuurlijk makkelijk te balancen, door 2 MX -records in de DNS op te nemen, dus dat zal niet een probleem zijn.

Volgens mij werkt het niet zo, maar ik kan me vergissen. Ten eerste betwijfel ik of je door 2 MX-records te definiëren aan inbound loadbalancing kan doen, want dat is volgens mij wat je wilt. Ten tweede, als je mailserver zonder aanvraag van buiten zelfstandig mail gaat versturen zal het netjes over de twee lijnen verdeeld worden, maar volgens mij als de aanvraag van buiten komt, wordt het verstuurd via dezelfde lijn als vanwaar de aanvraag komt.

De geforwarde poortjes zullen dus poortje 25 zijn vanaf beide verbindingen en als het enigzins mogelijk is wil ik vanaf een paar IP-adressen poortje 80 forwarden (dus dat ik vanaf thuis wat dingen kan onderhouden). Is dat laatste mogelijk in de router?

Nee, je kan een poort naar 1 privaat IP adres forwarden, daarbij wordt geen rekening gehouden met het publieke adres.

Hoe bevalt de VPN-mogelijkheid?

Ik ga daar binnenkort naar kijken, kan er nu nog niks over zeggen.

Occy74 schreef op woensdag 30 november 2005 @ 01:13:
Ik heb dezelfde Linksys router.Mijn stabiliteitservaringen zijn iets minder, minimaal 2x per maand reboot de router uit zichzelf.. De verbindingen zijn dan wel weer snel in orde maar toch, ik heb niet de laatste firmware erop want daarmee werkte het load-balancing niet, terug geflashed en alles liep weer..

Dat verbaast me. Ik heb de laatste firmware (1.3.7.2) en geen problemen met loadbalancing. Heb ook eerdere firmware versies geprobeerd en ook daar geen loadbalancing problemen. Helaas kon ik geen firmware versie vinden met de "intelligent balancer" functie aanwezig.

Ik heb trouwens ook nog een WRT54G router van Linksys en voor die router zijn er allerlei OS projecten die functionaliteit toevoegen aan de firmware(s) van de fabrikant, zie o.a. de site linksysinfo.org. Aangezien de code voor de RV042 ook open is, vroeg ik me af of er mensen zijn die weet hebben van kant en klare firmwares voor de RV042 of firmware projecten. Ik zoek eigenlijk een firmware die uitgebreide QoS functionaliteit toevoegt.

[ Voor 30% gewijzigd door Verwijderd op 30-11-2005 13:12 ]

[TD-er]

Dat regelen met de MX-records is inderdaad geen load-balancing, maar een vorm van fallback, mocht een van beide verbindingen wegvallen.
Een soort van loadbalancing zul je wel krijgen daarmee, maar dan in de vorm dat een zwaar belaste lijn (bijv een mailtje met grote attachment) vanzelf zal zorgen dat er een timeout kan optreden bij de mailserver en dan zal de mail-server aan de andere kant vanzelf de 2e MX-record benaderen.

[TD-er]

Ik was vandaag nog een beetje aan het rondkijken en toen kwam ik dit lijstje tegen van dual-wan-routers:

Symantec VPN 200
Nexland Pro800 - review ($399)
BroDigit NFR3024
Sonicwall
Hawking FR24
Xincom XC-DPG402 - discontinued
Xincom XC-DPG502 - (199,00 € VAT free / 238,00 € Incl VAT)
Xincom XC-DPG 503 - (269,00 € VAT free / 321,72 € Incl VAT)
Xincom XC-DPG 602 : (539,00 € VAT free / 644,64 € Incl VAT)
Xincom XC-DPG 603 : (699,00 € VAT free / 836,00 € Incl VAT)
OvisLink MN200
Hotbrick BL2
HotBrick Firewall VPN 600/2
HotBrick Firewall VPN 1200/2
ZyXEL ZyWALL 35
ZyXEL ZyWALL 70
Netgear FVS124G
Linksys RV082 Pricewatch-link
Linksys RV016
Linksys RV042 Pricewatch-link
Edimax BR-6104K Lijkt 1 WAN-poort te hebben zie specs
Edimax PRI682
Xterasys XR-4106
Pheenet BIG-02/4
Watchguard

[ Voor 40% gewijzigd door TD-er op 30-11-2005 22:31 . Reden: info toegevoegd ]

[Occy74]

Verwijderd schreef op woensdag 30 november 2005 @ 13:00:
[...]Dat verbaast me. Ik heb de laatste firmware (1.3.7.2) en geen problemen met loadbalancing. Heb ook eerdere firmware versies geprobeerd en ook daar geen loadbalancing problemen. Helaas kon ik geen firmware versie vinden met de "intelligent balancer" functie aanwezig.

Bij nader inzien bleek dat ik toch wel de nieuwste firmware erop heb geflashed (1.3.7.2 dus) en load-balancing werkt perfect..

Alleen het probleem dat ie soms spontaan reboot is er nog wel maar hij verbindt automatisch weer met beide isp's dus dat is een klein probleempje wat mij betreft.

[ Voor 3% gewijzigd door Occy74 op 03-12-2005 18:47 ]

[Vinnienerd]

Wat is toch die afwijking hier dat als iemand om een network-related hardware-oplossing vraagt, iedereen met een P200-met-Linux houtje-touwtje oplossing aan komt zetten? Ik erger me er dood aan

[jan-marten]

Toevallig hebben we bij ons op het werk ook net 2 Basewall VPN's geïnstalleerd (VPN3000 en VPN2000). Hele leuke kastjes overigens. Er wordt nog 'hard' gewerkt aan de firmware (je moet even contact met de mensen van Basewall opnemen voor de laatste patch welke versie 2, beta 2 van 26 oktober is).

De problemen die wij zijn tegengekomen zijn o.a:
• Subnet op LAN geen internet meer (routing wil niet meewerken)
• Aanmelden op domein vanaf tweede LAN (via VPN verbinding) werkt niet zomaar (oplossing staat hier)
• Support laat te wensen over (geen reactie op e-mail / aankomen zetten met vage oplossingen)
• Wegvallende VPN verbinding (opgelost dmv firmware update overigens)
• Handleiding erg onduidelijk
• LAN any-IP optie niet gebruiken!

Aangezien we 8 IP adressen hebben kunnen we ook 1 pc volledig op 1 IP adres zetten. Dit gaat via Multi DMZ. Ook zou het mogelijk zijn om WAN 1 voor internet en WAN 2 voor DMZ te gebruiken. Hier hebben we nog geen ervaring mee.

Er staan dus nog wat vragen open richting deze firma. We zijn er verder wel tevreden mee.

@Vinnienerd:
Ach ja, dat was onze oplossing ook in het begin. Echter deze machines waren echt houtje touwtje en dat wil je binnen een productie omgeving niet. Dan maar uitbesteden. Je kunt voor niets idd een PC aanschaffen maar er daarna wel een jaar mee bezig zijn om dat ding stabiel in de lucht te houden. Dat kun je niet maken bij een bedrijf.

[ Voor 15% gewijzigd door jan-marten op 08-12-2005 08:51 ]