Router / VPN gateway oplossing voor fail-over en ipsec

[Verwijderd]

Hallo allen,

Ik ben op zoek naar een apparaat wat het volgende kan.

Ik heb 2 redelijk grote vestigingen waar nu een internet verbinding ligt met een pix firewall voor de vpn tunnel en firewalling. Ik heb op beide vestigingen een extra lijn aangevraagd, voor fail-over garantie bij storingen.

Nu ben ik op zoek naar een apparaat dat dus 2 WAN verbindingen aan kan. Dit is op zich geen probleem. Het probleem onstaat wanneer ik ook graag de ipsec vpn tunnel wil kunnen backuppen over deze zelfde verbinding. Ik wil dus ook persee gebruik maken van NAT op deze router. Dus als er 1 van de in totaal 4 verbindingen uitvalt moet er eigenlijk automatisch overgeschakeld worden op een vpn tunnel voor de backup verbindingen.

Ik wil hiervoor niet kiezen voor een cisco oplossing om bewuste redenen. Ook de netscreen valt voor mij buiten de boot.

De meeste leverancier die ik mijn vragen stel raden alleen cisco aan, of geven aan wel redundant internet te kunnen verzorgen via een router maar geen backup kunnen garanderen voor de vpn tunnel. Ik kan me echter niet voorstellen dat een dergelijk iets niet bestaat. Dus zonder tussenkomst van handmatig handelen een backup instellen voor zowel het regulier internet verkeer als de ipsec vpn tunnels.

Bijkomende drempel is dat het geen duur apparaat mag zijn.. Max iets van 1000 euro per stuk.

Wie heeft voor mij de gouden tip

[ Voor 3% gewijzigd door Verwijderd op 19-10-2005 16:18 ]

[Arioch]

Misschien kun je overwegen om enkele OpenBSD dozen met CARP neer te planten?
Het carp protocol is namelijk ontworpen als een fail-over alternatief voor kant en klare cisco apparatuur.

Eventueel wat nuttige informatie over CARP in combinatie met VPN:
sasyncd - IPsec SA synchronization daemon for failover gateways

[ Voor 3% gewijzigd door Arioch op 19-10-2005 15:39 ]

[Verwijderd]

Ik heb helaas niet genoeg kennis van unix om dit te gaan gebruiken. Ik kan het wel configueren en plaatsen maar het moet uiteindelijk ook wel een beetje veilig zijn en blijven. wellicht is het dus inderdaad een goed alternatief, maar niet in mijn situatie

[Zwelgje]

fortigate 100, kan dual wan aan en is rond de 1000 euro (de 60 kan het ook en is veel goedkoper, maar heeft iets mindere specs) allebei kunnen ze site2site ipsec/vpn

www.fortinet.com

* Zwelgje heeft ruim ervaring met die beestjes, erg leuk spul

[ Voor 9% gewijzigd door Zwelgje op 19-10-2005 16:24 ]

[Verwijderd]

cool, ik heb wel eens eerder met een fortigate gewerkt alleen waren mijn ervaringen toen minder. Zo werkte de fail-over wel, maar waren er daarna wel problemen met de statische 1op1 nat mappings naar servers toe. Ik ga wel wederom een kijkje nemen naar deze apparaatjes. alvast bedankt voor deze suggestie, andere suggesties zijn natuurlijk ook welkom.

[Verwijderd]

Paar weken terug bij een bijeenkomst van CDG geweest. Er stond een stand van FatPipe networks. Volgens mij is dit product precies wat jij nodig hebt:

http://www.fatpipeinc.com/ipvpn/

[Bor]

Zwelgje schreef op woensdag 19 oktober 2005 @ 16:24:
fortigate 100, kan dual wan aan en is rond de 1000 euro (de 60 kan het ook en is veel goedkoper, maar heeft iets mindere specs) allebei kunnen ze site2site ipsec/vpn

www.fortinet.com

* Zwelgje heeft ruim ervaring met die beestjes, erg leuk spul

Volgens mij ondersteunen die ook geen failover voor ipsec tunnels. De laatste keer dat ik er naar vroeg in ieder geval niet.

Interessant topic trouwens

[ Voor 4% gewijzigd door Bor op 19-10-2005 19:55 ]

[Zwelgje]

Bor de Wollef schreef op woensdag 19 oktober 2005 @ 19:55:
[...]


Volgens mij ondersteunen die ook geen failover voor ipsec tunnels. De laatste keer dat ik er naar vroeg in ieder geval niet.

Interessant topic trouwens

mja

ts wil voor 1000 euro klaar zijn, denk dat ie dan (behoudens zelfbouwlinux) niet veel gaat krijgen

[Bor]

Lees ook het volgende artikel eens: http://support.microsoft.com/kb/306677/EN-US/

Ik ben erg benieuwd of er uberhaubt iets betrouwbaars te vinden is binnen de prijsklasse wat echt full ipsec failover support kan bieden.

[jochemd]

Bor de Wollef schreef op woensdag 19 oktober 2005 @ 20:33:
Lees ook het volgende artikel eens: http://support.microsoft.com/kb/306677/EN-US/

Het is leuk dat MS dat schrijft, maar dat is alleen voor hun relevant. Andere implementaties hebben er geen last van dat je 5 minuten niet kan reconnecten. Sterker nog, met andere implementaties hoef je niet te reconnecten omdat die statefull failover hebben.

Ik ben erg benieuwd of er uberhaubt iets betrouwbaars te vinden is binnen de prijsklasse wat echt full ipsec failover support kan bieden.

OpenBSD is gratis.

[Bor]

jochemd schreef op woensdag 19 oktober 2005 @ 21:44:
[...]

OpenBSD is gratis.

TS gaf aan geen Unix gebaseerde oplossing te zoeken. Mijn voorkeur gaat ook meer uit naar een device eigenlijk.

Bij Cisco kom je direct alweer uit op de duurdere modellen met ondersteuning voor HSRP en stateful ipsec failover.

[ Voor 20% gewijzigd door Bor op 19-10-2005 21:56 ]

[igmar]

Ik neem aan dat je geen twee dezelfde verbindingen hebt aangevraagd ? Failover met DSL is namelijk IMHO niet zo zinvol, aangezien de storing vaak in de centrale zit, en de kans groot is dat je redundante verbindingen ook plat gaan.

Verder dien je bij de failover niet van IP te wisselen : Doe je dat wel ben je gegarandeerd je IPSEC tunnels kwijt. Verder snap ik in deze niet wat de functies van de tunnels zijn : Worden ze gebruikt om echt een VPN te creeeren, hebben we het over roadwarriors ?

[Verwijderd]

Er zijn 2 verschillende dsl verbindingen, eentje van kpn en een van bbned. De fortigate kan inderdaad geen fail-over doen voor de ipsec tunnel. unix-linux is helaas geen oplossing voor mij aangezien we een microsoft onderneming zijn. Daarnaast is dit uiteindelijk veel te duur voor de klant. Met een support contract een nieuwe server de installatie etc zijn we veel duurder uit dan het inzetten van een appliance. Zyxel heb ik ook gecontacteerd maar deze bieden ook geen fail-over voor de VPN. Ik begin te vrezen dat er niet echt een dergelijke betaalbare oplossing al bestaat voor een acceptabele prijs.

[ Voor 18% gewijzigd door Verwijderd op 20-10-2005 13:17 ]

[Verwijderd]

Volgens mij kunnen bepaalde Watchguard Fireboxes dit wel maar die zijn wellicht meer dan 1000 euro. Alhoewel, de Edge X serie (klein firewalleke maar wél met dual WAN én IPsec opties) kan maybe wel een goede NATter zijn als je je netwerk er wat op wilt aanpassen.

Kijk even, ik denk wel dat je daar wat halen kunt.

[mindwise]

Waarom geen Juniper Netscreen ?.

Je geeft aan die niet te willen, maar een reden ontbreekt. Dus voordat ik je de buitengewone mogelijkheden van zo'n waanzinnig apparaat ga vertellen......

Cheers,

martijn

[Verwijderd]

Ik ben bang dat dit te duur gaat worden. En eigenlijk hebben we al een cisco pix staan om als firewall in te gaan zetten.