Dual wan oplossing, Ziggo&KPN, load balancing en failover

[shoof]

Beste Tweakers,

Ik ben op zoek naar een goede dual wan oplossing en heb al vele topics doorgelezen, maar toch weet ik nog niet welke dual wan router ik wil gaan aanschaffen en hoop daarom dat jullie mij hierbij kunnen helpen. Ik zal eerst de situatie uitleggen.

Momenteel hebben we een kpn adsl 3mbit/512k naar binnen liggen, eerdaags komt hier een ziggo verbinding bij 2mbit/512k.

In het netwerk zitten 6 workstations en een sbs 2003 server, in een domein, ook een printer en wat andere voor nu onbelangrijke netwerk apparaten, deze zijn met een netgear 24p gb switch verbonden. Aan deze switch hangt ook een simpel speedtouch routertje voor de kpn verbinding. De speedtouch draait dhcp, dit moet dus overgenomen worden door de dual wan router.

Het is de bedoeling dat de ziggo verbinding als backup gebruikt wordt bij uitval van de kpn lijn, maar eigenlijk vind ik het zonde om hem alleen daar voor te gebruiken. Het mooiste zou zijn als we deze voor loadbalancing kunnen gaan gebruiken, maar hier lees ik veel problemen mee, onder andere sessies die verlopen omdat ze overgaan naar de andere verbinding enz.

De software/applicaties die we gebruiken:

• Windows remote web workplace voor thuiswerkers over poort 443 en dus ook rdp, inkomend
• Oracle database van de opdrachtgever, uitgaand via java web interface.
• E-mail wordt door exchange ontvangen met behulp van de pop3 connector, dus met ip zie ik geen problemen. Uitgaande mail wordt verstuurd naar een smarthost, deze moet dus altijd over dezelfde verbinding gerouteerd worden, bij korte uitval maak het niet veel uit dat er geen mail verzonden kan worden, als het met de pop3 iig nog maar binnen komt. Gaat de storing langer duren, dan kunnen we de smtp smarthost zelf omzetten.

Werknemers hebben nog wel eens internetradio of andere streams openstaan, ook youtube enz., dit willen we niet verbieden, maar de verbinding met oracle is hierdoor niet altijd even snel, het zou dus mooi zijn als we het reguliere verkeer over de ziggo verbinding kunnen routeren en bv de smtp en oracle over de kpn verbinding kunnen routeren.

Thuiswerkers wil ik eigenlijk via beide verbindingen binnen laten komen, dus in dns bijvoorbeeld portal.xxx.nl en portal2.xxx.nl routeren naar verbinding 1 en 2, zodat bij uitval iedereen via dezelfde verbinding binnen kan komen en wanneer beide verbinding in de lucht zijn, de helft via de ene werkt en de helft via de andere verbinding werkt en remote access dus sneller werkt. Dit vereist dus dat de router de pakketjes die teruggestuurd worden ook via de juiste wan moet sturen.

Ik heb een aantal routers gevonden die dit volgens mij moeten kunnen. Maar ik weet niet hoe goed deze met sessies omgaan, vooral omdat oracle bijvoorbeeld de hele dag moet draaien en dan wel op hetzelfde ip moet blijven. Ook voor het thuiswerken is dit het geval, deze verbreekt de verbinding als pakketjes in een keer van een ander ip komen. Policy based routing is hier volgens mij de term voor?

Wanneer één van de twee verbindingen uitvalt, moet al het internetverkeer vanzelfsprekend gerouteerd worden naar de dan nog werkende verbinding. Dat tijdens de omschakeling sessies verlopen is natuurlijk geen probleem.

Ik heb onder andere de volgende routers gevonden:

• Draytek 2820, volgens mij kan deze policy based routeren
• Netgear FVX538, lees veel dingen over firmware problemen
• Linksys RV082, lees ook hier veel problemen van
• 3com 3CREVF100-73, kan niet vinden of deze ook policy based kan routeren, verder weinig reviews o.i.d. op het net te vinden, wel gb
• hotbrick, schijnen slechte firewall te hebben?
• een cisco oplossing zou ook kunnen, maar zover ik weet is load balancing alleen aanwezig in duurder modellen en kan bijvoorbeeld de asa5505 alleen maar failover toepassen?

Voor de ziggo verbinding is overigens ook dyndns support vereist. kpn heeft een statisch ip.

Wie heeft ervaring met dergelijke oplossingen en kan mij helpen?

[StarWing]

Wat is je budget ?

Watchguard Firebox toestellen kunnen ook perfect wat je vereist.

[DukeBox]

shoof schreef op woensdag 17 juni 2009 @ 16:10:
Werknemers hebben nog wel eens internetradio of andere streams openstaan, ook youtube enz., dit willen we niet verbieden, maar de verbinding met oracle is hierdoor niet altijd even snel, het zou dus mooi zijn als we het reguliere verkeer over de ziggo verbinding kunnen routeren en bv de smtp en oracle over de kpn verbinding kunnen routeren.

Zolang je ISP geen QoS ondersteund is daar helaas niets aan te doen zonder het innitiërende verkeer te blokkeren.
Je hebt nou eenmaal geen invloed op de data die jouw kant opwordt gestuurd.
Verder zou ik eens kijken naar een Cisco ASA 5505 met Sec+ ( ~300€). Daar heb je een load balanced WAN mogelijkheid met behoud van sessions op basis van p2p.

[shoof]

Budget is ongeveer €400,-

Als ik bij cisco op de site kijk (http://www.cisco.com/en/U...odels_comparison.html)kom ik bij een asa 5510 i.c.m. sec+, er staat dat de 5505 sec+ geen load balancing ondersteund, is dit correct, of ondersteund deze dat wel? de 5510 wordt dan wel weer heel prijzig voor 6 werkplekken.

[ Voor 24% gewijzigd door shoof op 17-06-2009 16:49 ]

[Ascension]

DukeBox schreef op woensdag 17 juni 2009 @ 16:36:
[...]

Zolang je ISP geen QoS ondersteund is daar helaas niets aan te doen zonder het innitiërende verkeer te blokkeren.
Je hebt nou eenmaal geen invloed op de data die jouw kant opwordt gestuurd.
Verder zou ik eens kijken naar een Cisco ASA 5505 met Sec+ ( ~300€). Daar heb je een load balanced WAN mogelijkheid met behoud van sessions op basis van p2p.

Dat heeft niks met QoS te maken hoor. Met een goede loadbalancer kan je ook instellen dat verkeer naar bepaalde sites de ene link gebruikt.

[Sander]

Draytek Vigor 2910 Dual WAN router. Prima apparaat voor weinig geld en doet precies wat je wil. Inclusief instellen welk type verkeer via welke verbinding moet gaan, instelbaar per protocol en met een set poorten. 180e inc btw.

[DukeBox]

Ascension schreef op woensdag 17 juni 2009 @ 19:32:
Dat heeft niks met QoS te maken hoor. Met een goede loadbalancer kan je ook instellen dat verkeer naar bepaalde sites de ene link gebruikt.

Dat is een optie maar voorkomt nog steeds niet dat als je geen QoS hebt je geen beheer hebt over je binnenkomend verkeer. Daar zijn ook de DoS aanvallen op gebaseerd.

shoof schreef op woensdag 17 juni 2009 @ 16:42:
Budget is ongeveer €400,-
...er staat dat de 5505 sec+ geen load balancing ondersteund, is dit correct, of ondersteund deze dat wel?

Dat is load balancing tussen 2 ASA's. Ze kunnen gewoon dual WAN / ISP en daarover balanced session control.

Hoe dan ook, aangezien je verbindingen niet echt snel zijn kun je ook voor die draytec gaan. Tot 40Mbit gaat die prima.

[ Voor 37% gewijzigd door DukeBox op 17-06-2009 22:32 ]

[ransbal]

http://www.sonicwall.nl/benelux/TZ_Series.html.
De TZ190 heeft WAN Fail Over. Goede routers/firewalls met optionele upgrades als antivirus en antispam. Ook vrij eenvoudig te configureren

[Sander]

Waarom allemaal van die oplossingen die zwaar overkill zijn voor zijn situatie? Die draytek voldoet gewoon prima.

[shoof]

Ik heb net even de gebruiksaanwijzing van de Draytek doorgenomen, dat ziet er goed uit. Maar voor het beetje geld extra wil ik best investeren in de ASA5505, daar koop je denk ik toch een stukje betrouwbaarheid/performance voor. Ik heb zelf alleen totaal nog geen ervaring met Cisco.

Weten jullie een howto o.i.d. over balanced session control te vinden, of een zoekterm die ik kan gebruiken, als ik google op balanced session control vind ik namelijk niet veel. Verder nog een licentie vraag, er staat bij een aantal shops bij de router ASA 5505 10 User software license, of ASA 5505 10-User Bundle. Houdt dit in dat de router niet met meer dan 10 ip's wil praten? Of gaat het puur om de vpn? 10 ip's heb ik namelijk niet genoeg aan, we hebben al 6pc's, server, een aantal dvr's, printers en af en toe een aantal laptops extra.

[raymonvdm]

Ik denk dat Cisco wat aan de dure kant is. Ik zie de laatste tijd overal Zyxel / Draytek routers verschijnen met dual wan poort. Die dingen zijn volgens mij niet zo gek duur.

Zelf heb ik ook Sonicwall ervaring en die dingen kunnen uitgaand ook wel filteren / Policy Based Routing. Voor inkomend verkeerd gaat het niks uitmaken. Dat verkeer komt toch wel ook al staat de firewall dicht. Verkeer tegenhouden lukt alleen op een uitgaande interface...

[Tha_T]

sander- schreef op woensdag 17 juni 2009 @ 22:54:
Waarom allemaal van die oplossingen die zwaar overkill zijn voor zijn situatie? Die draytek voldoet gewoon prima.

Waarom een apparaat aanraden wat je ook net zo goed bij de Paradigit om de hoek kunt halen? Het ding zal vast doen wat ie moet doen maar geef liever iets meer geld uit en heb een dedicated oplossing voor dit probleem.

Ik heb er verder geen ervaring mee (Bij Draytek dan) maar de support op bijna-consumenten-apparatuur is vaak ook nog niet erg goed. Terwijl als je net wat verder kijkt heb je een lekkerder support-contact en daar pluk je vroeg of laat de vruchten van. Better safe then sorry.

[pierce]

Kijk eens naar Fiberlogic, en dan specifiek naar de MeshVPN 2320 Load Balancer.
Over de prijzen kan ik je helaas niks vertellen, wel dat het prima werkt en eenvoudig te configureren is.

[Croga]

DukeBox schreef op woensdag 17 juni 2009 @ 22:26:
Dat is een optie maar voorkomt nog steeds niet dat als je geen QoS hebt je geen beheer hebt over je binnenkomend verkeer. Daar zijn ook de DoS aanvallen op gebaseerd.

Wat ze willen doen is van binnen uit het verkeer regelen. Dan kun je dus ook regelen op welke verbinding het zware verkeer binnen komt aangezien dat altijd als reply komt.

Je kunt dus wel degelijk zorgen dat radio/video op 1 verbinding binnen komt en SMTP verkeer op de andere.

[Verwijderd]

StarWing schreef op woensdag 17 juni 2009 @ 16:28:
Wat is je budget ?

Watchguard Firebox toestellen kunnen ook perfect wat je vereist.

Was het niet zo bij deze dingen dat er een max aantal connecties ingesteld is? En dat je extra moet betalen als je meer connecties wil?

Overigens kan ik je de Draytek zeker aanbevelen. Eenvoudig te configureren en doet zijn werk prima.

[shoof]

Hebben jullie met de draytek verder nooit het probleem dat sesies verlopen doordat het verkeer gerouteerd wordt over twee wans? En bijvoorbeeld internetradio, loopt deze niet meestal via poort 80? Dan is het dus onmogelijk om dit te scheiden van het overige http verkeer. Net als videostreams of bv youtube.

[DukeBox]

shoof schreef op woensdag 17 juni 2009 @ 22:55:
Weten jullie een howto o.i.d. over balanced session control te vinden, of een zoekterm die ik kan gebruiken, als ik google op balanced session control vind ik namelijk niet veel.

Het is niets anders dan 2 WAN vlan's aanmaken en daar 2 externe ip's op confgigureren. Vervolgens over beiden PAT configureren en 2 default gateways met gelijke metric op zetten.

Verder nog een licentie vraag, er staat bij een aantal shops bij de router ASA 5505 10 User software license, of ASA 5505 10-User Bundle. Houdt dit in dat de router niet met meer dan 10 ip's wil praten? Of gaat het puur om de vpn? 10 ip's heb ik namelijk niet genoeg aan, we hebben al 6pc's, server, een aantal dvr's, printers en af en toe een aantal laptops extra.

Het zijn het aantal verbindingen die simultaan gebruik maken van de firewall. Bijv. een printer gaat neem ik aan niet naar buiten dus die hoef je niet mee te tellen. Een unlimited licence is niet zo duur maar met jouw budget ga je dat niet redden (180€ unlimited, 63€ voor 50 hosts).
De standaard user licenties zijn het aantal simultane VPN sessies.. het zijn er eigenlijk 22, 10 ipsec (L2L) 10 ipsec (user VPN) en 2 SSL VPN.

raymonvdm schreef op woensdag 17 juni 2009 @ 22:59:
Ik denk dat Cisco wat aan de dure kant is.

Een ASA5505 kost kaal ook maar 200€.. dus dat valt best wel mee voor een firewall/vpn oplossing die vrijwel alle functionaliteiten heeft van zijn grotere broers. Ik heb hem voor thuis ook omdat dat de enige betaalbare router was die mijn 120Mbit (upc fibre) volledig kon routeren.

[ Voor 29% gewijzigd door DukeBox op 18-06-2009 00:25 ]

[Bl@ckbird]

DukeBox schreef op woensdag 17 juni 2009 @ 22:26:
[...]
Dat is een optie maar voorkomt nog steeds niet dat als je geen QoS hebt je geen beheer hebt over je binnenkomend verkeer. Daar zijn ook de DoS aanvallen op gebaseerd.

[...]

Dat is load balancing tussen 2 ASA's. Ze kunnen gewoon dual WAN / ISP en daarover balanced session control.

Bij een DoS aanval worden sessies geïnitieerd vanaf het internet.
Bij online radio streams worden sessies geïnitieerd vanuit het eigen netwerk en heb je er dus betere controle over.

Bij een Active / Active configuratie heb je twee ASA aan twee WAN links. Hier tussen kan je asymetrisch routeren. Dus packet A gaat via ASA 1 en WAN link 1 naar buiten en het antwoord komt binnen via WAN link 2 en ASA 2. Voor Active / Active failover heb je minimaal een ASA5510-SEC-K9 nodig.

Een andere optie die de ASA biedt is Dual ISP of "static route tracking."
2 opgegeven objecten op het internet worden daarbij gepingt door de ASA. ( Meestal de DNS server van de ISP.) Timed de ping out naar object A, dan wordt de route / verbinding omgeswitched naar object B.
( Dus van WAN link A naar WAN link B. ) De ASA kan niet loadbalancen over twee WAN links.
( Het is of/of... ) De Cisco ASA ondersteund wel routing protocollen OSPF en EIGRP Stub, maar daarvoor heb je support vanuit de ISP nodig en die doen dat niet. Dual ISP / static route tracking wordt ondersteund vanaf de ASA5505-SEC-BUN-K9. De ASA5505 is er ook in een 10, 50 en unlimited user variant. (Het aantal interne IP adressen wat de ASA binnen 24h ziet.) Deze ondersteunen geen Dual ISP.

Wil je policy based routen, dan heb je een router nodig, in plaats van een dedicated security doosje.
( What's in the name ) Op Cisco routers heet Dual ISP van de ASA overigens Enhanced Object Tracing. Met policy based routing ( PBR ) kan je bepaald verkeer classificeren, om dit vervolgens via WAN link A of B uit te sturen richting internet.

Naast PBR heeft Cisco tegenwoordig ook Cisco Performance Routing ( PfR ).
Aan de hand van parameters, zoals bandwith, jitter en delay wordt bepaald verkeer een interface uitgestuurd.
( Handig bijvoorbeeld voor VoIP. Wordt de jitter te groot, dan wordt de andere WAN link gebruikt. )
Een eenvoudige configuratie van PfR is te vinden in de Q&A.

Op routers kan je bovendien verkeer shapen door het eerst te classificeren met behulp van NBAR.
( En dan op basis van URL. )

Policy bases routing wordt ondersteund met Advanced Security IOS.
( CISCO1801/K9 of de CISCO1841-SEC/K9 met HWIC-1ADSL= ADSL kaart. )
Voor Cisco Performance Routing heb je Advanced IP Services IOS nodig.
( CISCO1801/K9 of de CISCO1841-HSEC/K9 met HWIC-1ADSL= ADSL kaart. )

Dit loadbalancing verhaal geldt alleen voor uitgaand verkeer. Inkomend erkeer kan je niet loadbalancen, omdat je twee verschillen IP ranges hebt. ( Waar de host op internet geen notie van heeft. )

Sessies worden ook per TCP/UDP/IP sessie geload balanced. (En niet per packet.)
Per sessie kan je nooit meer halen dan een enkele WAN link waar die sessie over loopt. ( Dus 2x 512k. )

Wil je ook sessies van buiten naar binnen load balancen, dan moet je SDSL lijnen bundelen.
Andere mogelijkheid is een router in een DC hangen (heeft één IP adres) en vanuit hier DMVPN tunnels op zetten naar een interne router. Tussen de DMVPN tunnels (over verschillende WAN interfaces) kan je load balancen met EIGRP. (En evt. combineren met WAN optimalisatie.) Maar je server had je dan net zo goed in een DC kunnen hangen i.p.v. een router.

[sanfranjake]

Tha_T schreef op woensdag 17 juni 2009 @ 22:59:
[...]
Ik heb er verder geen ervaring mee (Bij Draytek dan) maar de support op bijna-consumenten-apparatuur is vaak ook nog niet erg goed. Terwijl als je net wat verder kijkt heb je een lekkerder support-contact en daar pluk je vroeg of laat de vruchten van. Better safe then sorry.

Ik zet Draytek 2820's aan de lopende band bij klanten weg, en Draytek is toch echt wel een zakelijk product hoor. Als 'ie ooit stuk gaat staat er binnen 4 uur een nieuwe (waar mijn gemailde configfile in zit)

[Sander]

sanfranjake schreef op donderdag 18 juni 2009 @ 09:12:
[...]

Ik zet Draytek 2820's aan de lopende band bij klanten weg, en Draytek is toch echt wel een zakelijk product hoor. Als 'ie ooit stuk gaat staat er binnen 4 uur een nieuwe (waar mijn gemailde configfile in zit)

Daarom, maar zodra iets ook bij een computerwinkel te koop is wordt het gelijk afgedaan als consumentenrommel. Toevallig laatst bij een klant geweest waar het 1e ADSL modem (een Draytek Vigor) al sinds 10 jaar stond te draaien... Nooit wat mis mee geweest, uiteindelijk vervangen vanwege overstap naar ADSL2 en 2 lijnen.

Als ik zie dat het hier om 2 budget lijntjes gaat, een KPN ADSL en een goedkoop ziggo lijntje, waarom zou je dan wel een hoop geld uitgeven aan cisco apparatuur? Wat voor modems heb je er op draaien dan? Ook cisco spul?

[sanfranjake]

sander- schreef op donderdag 18 juni 2009 @ 09:19:
Daarom, maar zodra iets ook bij een computerwinkel te koop is wordt het gelijk afgedaan als consumentenrommel.

Dat, en de mooie prijs voor het mkb, en de vele uitgebreide mogelijkheden hebben mij toch wel doen besluiten Draytek te kiezen, goede prijs/kwaliteitverhouding, niet te bloated, gaat nooit stuk (bij mij dan:P)
De ultieme oplossing zou ik zeggen in dit scenario, de directeur van dat bedrijf is niet goed wijs als 'ie voor 6 users en 2 nog geen 4 mbitlijntjes een dure ASA neer gaat zetten. Dat is weer typisch geektalk

[Tha_T]

sanfranjake schreef op donderdag 18 juni 2009 @ 09:12:
[...]

Ik zet Draytek 2820's aan de lopende band bij klanten weg, en Draytek is toch echt wel een zakelijk product hoor. Als 'ie ooit stuk gaat staat er binnen 4 uur een nieuwe (waar mijn gemailde configfile in zit)

Wat ik al zeg; Ik heb geen ervaringen met Draytek. Wel met cisco enz.

[Me_dusa]

Ik heb zelf ervaring met de Draytek de Linksys RV082 en enkele modellen Cisco PIX/VPN Concentrators.

Dus ik zou gezien je budget en je weinig tot geen ervaring hebt met Cisco toch eens serieus gaan kijken naar de Draytek 2820 of een ander model van Draytek met dual LAN. Deze doen alles wat jij wil, zijn makkelijk te configureren en met jou troughput stabiel genoeg.

Succes!

[Verwijderd]

al eens gekeken naar sonicwalls ? TZ190 bijv.

*overzichtelijke webinterface
* goede prijs kwaliteit verhouding

ik heb een TZ170 draaien met Dual Wan met ook Fail Over werkt super

[DukeBox]

Cisco is met name handig als je meer cisco apparatuur hebt omdat het IOS overal vrijwel gelijk is. Of het nu een switch, een router of een firewall is.
In jouw geval (en ik ben heel erg ASA fan) zou ik ook voor de draytec gaan. Het is een merk dat zichzelf heel erg heeft bewezen en qua functionaliteit die jij nodig hebt zeker niet onderdoet. Daarnaast is deze uiteindelijk een 3e van de prijs van die cisco.

[Verwijderd]

Hallo,

ik heb voor een soort gelijk hetzelfde probleem bij digidaily mijn draytek modem (2820) gekocht. Valt ver onder je budget, ongeveer € 220,-.

Zie hier: draytek 2820

Succes!

[Uberprutser]

Me_dusa schreef op donderdag 18 juni 2009 @ 13:47:
Ik heb zelf ervaring met de Draytek de Linksys RV082 en enkele modellen Cisco PIX/VPN Concentrators.

Die heb ik zelf voor exact hetzelfde ingezet op een aantal locaties.

Bij 1 van de klanten was de telefoonkabel defect en precies op de plek waar ie onder het asfalt zat (...) dat duurde dus "even" voor het weer werkte.
De Ziggo kabel deed het nog prima dus snel even internet aangevraagd en sindsdien is dat een backup lijn (voor http wordt alleen deze lijn gebruikt vanwege de 20/3).
Voor het SMTP, web en nog wat andere diensten staat standaard de SDSL ingesteld.

[nero355]

Verwijderd schreef op vrijdag 19 juni 2009 @ 10:38:
Hallo,

ik heb voor een soort gelijk hetzelfde probleem bij digidaily mijn draytek modem (2820) gekocht. Valt ver onder je budget, ongeveer € 220,-.

Zie hier: draytek 2820

Succes!

Doe maar duur : pricewatch: DrayTek Vigor 2820 Annex A

* nero355 gaat er ook een halen binnenkort + heeft al een 2910VG thuis staan

[_fm]

Zolang je niet teveel speciale dingen wil zou zo'n draytek modem wel ongeveer moeten doen wat je wil. 2 ervaringen die ik je niet wil onthouden:
- draytek 2820 annex b, de laatste firmware en bevat een bepaalde configuratie. Ik wilde ipsec vpn gaan doen, zet ipsec aan en kon de firmware restoren omdat hij in een reboot loop zat. (En zelfs na firmware restore en de backup configuratie terugzetten, opnieuw vpn aanzetten, en hij zat weer in een reboot loop, dus opnieuw restoren etc)
- lees eens een (paar) draytek manuals, het meeste lijkt op engels.

[nero355]

_fm schreef op vrijdag 19 juni 2009 @ 16:27:
Zolang je niet teveel speciale dingen wil zou zo'n draytek modem wel ongeveer moeten doen wat je wil. 2 ervaringen die ik je niet wil onthouden:
- draytek 2820 annex b, de laatste firmware en bevat een bepaalde configuratie. Ik wilde ipsec vpn gaan doen, zet ipsec aan en kon de firmware restoren omdat hij in een reboot loop zat. (En zelfs na firmware restore en de backup configuratie terugzetten, opnieuw vpn aanzetten, en hij zat weer in een reboot loop, dus opnieuw restoren etc)

Als je dat gewoon meldt denk ik dat ze maar al te graag hun best doen om het te fixen

- lees eens een (paar) draytek manuals, het meeste lijkt op engels.

Support is wel in het Nederlands mogelijk + je krijgt snel antwoord. Verder komt dat gewoon omdat alles in Taiwan/China wordt gemaakt en vertaald en dat ziet er af en toe erg knullig uit

[shoof]

Die heb ik zelf voor exact hetzelfde ingezet op een aantal locaties.

Welke van de drie in dit geval? En welke functioneerd het beste?

[ Voor 12% gewijzigd door shoof op 19-06-2009 18:38 ]

[Uberprutser]

shoof schreef op vrijdag 19 juni 2009 @ 18:37:
[...]


Welke van de drie in dit geval? En welke functioneerd het beste?

De Linksys, Cisco is ook mooi spul maar dat had ik toen nog niet zoveel kaas van gegeten.

[shoof]

Nu heb ik nog één laatste vraag voor de draytek. Ondersteunen de drayteks ook een combinatie van fail-over en load-balancing. Ik wil namelijk een aantal policy's koppelen aan poorten en wan's, maar worden deze policy's bij uitval van een wan ook gerouteerd naar de dan nog werkende wan, of blijven deze gerouteerd worden naar de wan uit de policy?

Zijn er meer mensen met ervaring met de linksys, hoe doet deze dat?

[DukeBox]

^ nee, fialover in die (prijs)klasse is alleen bij de ASA (top, maar duur), Juniper (goed spul maar weinig standaard), Watchguard (troep naar mijn idee), Nokia (ondergewaardeerd top spul), R5 (te duur) en Zyxel (duurder dan basis ASA) beschikbaar (en vast nog een hoop anderen, maar daar werk ik minder mee). Een (virtuele) software appliance is dan het goedkoopst maar niet altijd het meest practisch.

[Verwijderd]

Bij draytek.com kun je online in een demo config kijken.

http://www.draytek.com/user/SupportLiveDemoDetail.php?ID=5 (voor een Draytek 2820). Test en bekijk hier je policy's en instellingen.

[PcDealer]

Failover (Active Passive) is ook op de reeds genoemde SonicWALL TZ 190 beschikbaar en als je wil zelfs met 3g support via een ingebouwd wireless kaartje.

Lees ook DUAL-WAN -> Na filteren WANpoort toekennen eens door.

[ Voor 22% gewijzigd door PcDealer op 22-06-2009 08:39 ]

[Verwijderd]

Nog één ding over een Draytek 2940V. Ik wou een remote site (waar de draytek stond) met VPN continu verbinden met het hoofdkantoor. Daar staat een Cisco doos...

Draytek belt in, authenticatie OK, na 1min en 12 sec EXACT, klapt de VPN eruit. Na 2 seconden opnieuw inbellen, en het verhaal herhaalt hetzelfde. (als de Windows clients (en zelfs Linux VPN) inbellen, dan is er geen probleem, en kan de VPN de hele dag aan staan).

Dus de Draytek wou niet samenwerken met de Cisco kast.

Toen hebben we maar de Windows server laten inbellen en een static route gemaakt.

Maar de load balancing en scheiden van http traffic van VPN ging perfect over twee WiMax verbindingen.


Draytek wist niet waardoor het komt.

[Workaholic]

@ Topic starter..

Pak een hp of dell server met 4 netwerk kaarten en zet er PFSENSE op.

Pakket is gratis en kan alles en veeeel meer dan eerder genoemde apparaten.

Ik heb ongeveer 20 van dit soort firewalls draaien bij klanten, waarbij sommige een dual wan er op hebben aangesloten. Hierbij kan het apparaat worden uitgebreid met SNORT, Proxy Server met internet filters (blokken van websites, trefwoorden, whitelists, blacklists etc).

QoS, of het blocken van webradio kan hiermee ook, sterker nog je kunt hem bijna helemaal dicht timmeren en elke user max 10kb/sec geven voor bepaalde protocols .

Cisco asa apparatuur is leuk, kost een paar centen..(licenties?!) en kan lastig zijn met configuratie als je geen ervaring hebt met cisco apparaten.

Sonic firewalls zijn aardig, maar hebben minder functionaliteit dan pfsense en je zit vast aan een beperkt aantal features. De pfsense is naar eigen wens te configureren en uit te breiden met diverse "packages".

Succes met je keuze!

[ Voor 24% gewijzigd door Workaholic op 27-06-2009 08:24 ]

[PcDealer]

Een ASA5505 is een paar honderd Euro in de setup van de ts (afhankelijk van aantal poorten, gebruikers, etc.) en heeft ook nog 2x PoE.
Welke functionaliteit mist de SonicWALL volgens jou?

Wie support de Pfsense?

[ Voor 42% gewijzigd door PcDealer op 27-06-2009 09:51 ]

[Workaholic]

PcDealer schreef op zaterdag 27 juni 2009 @ 09:44:
Een ASA5505 is een paar honderd Euro in de setup van de ts (afhankelijk van aantal poorten, gebruikers, etc.) en heeft ook nog 2x PoE.
Welke functionaliteit mist de SonicWALL volgens jou?

Wie support de Pfsense?

er is gewoon support verkrijgbaar voor een vast bedrag per maand Ik zou het echter eerst zelf zonder proberen.. nooit geschoten is altijd mis Zo moeilijk is het niet!

[PcDealer]

Workaholic schreef op zaterdag 27 juni 2009 @ 19:01:
[...]


er is gewoon support verkrijgbaar voor een vast bedrag per maand Ik zou het echter eerst zelf zonder proberen.. nooit geschoten is altijd mis Zo moeilijk is het niet!

Ik zie nogal wat limitations.

Het toeval wil dat ik vrijdag benaderd ben door een bedrijf die tot nog toe linux firewalls inzette, maar nu een SonicWALL oplossing wil.

[Verwijderd]

@Topicstarter;

Misschien een goedkope pc met zuinige cpu inzetten (min. configuratie), meerdere nic's erin, linux erop en dan de nodige services instellen, incl. bonding interfaces etc. voor je failover/redundancy?

Lijkt me dat je hiermee goedkoper uit bent, schaalbaarder, flexibeler etc.?! Plus dat je minder verstand hoeft te hebben van cisco apparatuur (wel van linux overigens).

[shoof]

Het is uiteindelijk een Draytek 2930 geworden. Werkt perfect! Enkele websites hebben problemen met de sessies. De enige die ik zo kan noemen is het Robbie Williams forum waar een werkneemster wel eens op zit, maar daar maak ik me dan ook niet heel druk om

Bedankt voor al jullie reacties.

[Uberprutser]

Nog speciale zaken moeten configureren om het werkend te krijgen?

[shoof]

Niets speciaals hoeven configureren. Alleen bijvoorbeeld even aangeven dat smtp over wan 1 moet en http bijvoorbeeld over wan2. En natuurlijk wat standaardinstellingen, maar die moet je op een standaard router ook instellen. Voor wan1 kun je ook gewoon gebruik maken van meerdere ip adressen, dus perfect voor onze zakelijke dsl met 8 ip's, wan2 heeft die mogelijkheid volgens de gebruiksaanwijzing niet, maar het lijkt alsof het wel mogelijk is in de software, dit heb ik alleen niet kunnen proberen omdat de 2e verbinding maar 1 ip heeft.

Mocht je nog vragen hebben dan beantwoord ik ze uiteraard graag. Ik heb de router trouwens gekocht bij routershop.nl, netjes te woord gestaan en een nette prijs inclusief rackmount kit.

[d.drenth]

Wij hebben hier intern erg goede ervaringen met Zyxel. Hebben hier meerdere UTM 300 van draaien. Ook tussen verschillende locaties hebben we VPN connecties opgezet.

We hebben nog 1 router over met DUAL-WAN mogelijkheid, zou geplaatst worden op vestiging die uiteindelijk toch niet doorging. Staat ook op tweakers.net

V&A aangeboden: Zyxel Zywall 35

[exia]

1 woord: QNO

dit zijn routers die multi wan leveren. van 2x100mbit tot 5xgbit WAN!

verkrijgbaar bij http://shop.eforce.nl/qno . staan geen specificatie's op die site maar kan je vinden op: http://www.qno.tw.com

dit werkt ideaal. Load Balancing, Fail Over, VPN, alles gewoon!

[Uberprutser]

Een netwerkmeukbakker zonder werkende site zou ik nou niet per direct voor gaan...

[Parasietje]

Ik raad u aan om gewoon een linux bak daar neer te poten. Met embedded hardware ga je altijd tegen beperkingen aanlopen. Met een echte server kan je zoveel configureren als je wil. Je kan bijvoorbeeld een transparante http proxy opzetten, en daarin dan een onderscheid maken tussen youtube/internetradio verkeer en andere verkeer. Traffic shaping, SIP proxy, noem maar op.

Helaas is daar ook wel een beetje kennis voor nodig, maar ik ben zeker dat er support-bedrijven te vinden zijn die zoiets kunnen regelen.

[Cergorach]

exia schreef op donderdag 12 november 2009 @ 16:54:
1 woord: QNO

dit zijn routers die multi wan leveren. van 2x100mbit tot 5xgbit WAN!

verkrijgbaar bij http://shop.eforce.nl/qno . staan geen specificatie's op die site maar kan je vinden op: http://www.qno.tw.com

dit werkt ideaal. Load Balancing, Fail Over, VPN, alles gewoon!

Bedankt voor de tip! Ik was al aan het kijken hoe ik een goede/stille/zuinige router PC in elkaar zou kunnen zetten, maar dit is gewoon veel simpler. Waarschijnlijk ga ik voor de FQR8030, deze is goed te betalen. Hoewel ik eigenlijk een FQR8066 zou willen hebben (ivm. de gigabit poorten), maar de prijs is mij net iets te hoog.

Iemand anders nog ervaring met QNO?

Specifiek vraagje: Kan ik met dat ding aangeven welke PCs/netwerkpoorten gebruik moeten maken van welke verbinding?

Ballebek schreef op vrijdag 13 november 2009 @ 08:26:
Een netwerkmeukbakker zonder werkende site zou ik nou niet per direct voor gaan...

Dat komt omdat de beste man het verkeerde linkje heeft gegeven. Het is namelijk:
http://www.qno.com.tw