Loadbalancing met 2 internetlijnen in een kantooromgeving

[bramgozer]

Laat ik eerst eens de situatie beschrijven:
Een kantoor met grofweg 20 pc's gebruikt op dit moment een applicatie over het internet om reserveringen voor klanten te boeken, en om de database te beheren.
De PC's zijn via een vast netwerk verboden met een server die de DHCP beheerd, welke weer verbonden is met een server voor de firewall en NAT(waar dus ook het internet vanuit het modem binnen komt).

Nu is het probleem dat wanneer er bijvoorbeeld iemand een grote hoeveelheid afbeeldingen uit de (remote) beeldenbank download, de verbinding inzakt, en het reserverings systeem verschrikkelijk traag word.

Nu was ons idee om een extra internetverbinding aan te leggen, deze draadloos te maken, en hier het database werk over te laten lopen.

vraag:
Hoe kunnen we ervoor zorgen dat er bepaalde verbindingen via de ene NIC gaan, en de rest over de andere.
al het verkeer is browser-based.
En is het nodig dat dit op de pc's opgelost word, of kan dit al op de firewall/NAT server, zodat er geen extra NICs geplaatst hoeven te worden, en we de huidige firewall hier ook voor kunnen gebruiken.

nb. De pc's draaien op Windows 2k

Ook andere oplossingen zijn welkom!

[CyBeR]

Dit los je niet in je pc's op, maar in je router. Je hebt een router nodig die, ten eerste natuurlijk, meerdere verbindingen aankan (dwz, meer dan twee: internet en lan) en ten tweede zogenoemde policy routing kan doen. Je policy kan dan zijn: verkeer naar je reserveringssysteem via ISP A, de rest via ISP B.

[enveekaa]

Dit is goed mogelijk met bijvoorbeeld een Watchguard Firebox X550e (wat CyBeR zegt).
Ja kan het ook anders doen, en met default gateways gaan spelen, maar hier heb je wel wat basis netwerk kennis voor nodig.

[ Voor 22% gewijzigd door enveekaa op 26-02-2010 15:02 ]

[bramgozer]

Netwerk kennis is wel aanwezig
De medewerkers starten het reserverings systeem via een link in de NAL (novell application launcher) op
Ik zat te denken om misschien daar een parameter toe te voegen waardoor er een roaming profile van firefox gebruikt wordt die de juiste proxy instellingen voor de gateway van de draadloze router heeft.

[Verwijderd]

Dit moet je niet op de clients afvangen, maar in je routing.

Je zult eerst moeten uitzoeken waaraan het verkeer te herkennen is (bestemmings-adres, protocol.... of een combinatie daarvan) en dan d.m.v. een routing-policy het verkeer over de juiste internet-lijn naar buiten gooien.


If
destination = xxx.xxx.xxx.xxx and protocol = A
Then
next hop = gateway 2
Else
use default gateway (= gateway 1)
End if

Daar heb je geen wireless voor nodig. Wireless wil je ook niet zomaar in je netwerk hebben, tenzij je het goed regelt en dat kost $$$.

[ Voor 16% gewijzigd door Verwijderd op 26-02-2010 15:24 ]

[Vicarious]

De proxy-oplossing waar hij zelf mee komt is zo gek nog niet hoor. Kan een hoop investeringen schelen. Moet je wel een apparaat hebben dat proxy kan spelen.

[Verwijderd]

Vicarious schreef op vrijdag 26 februari 2010 @ 15:23:
De proxy-oplossing waar hij zelf mee komt is zo gek nog niet hoor. Kan een hoop investeringen schelen. Moet je wel een apparaat hebben dat proxy kan spelen.

In dat geval kun je ook gewoon je browser zo configureren (met een PAC-file al dan niet in combinatie met WPAD), dat hij voor protocol A naar destination xxx.xxx.xxx.xxx een andere proxy gebruikt of desnoods direct gaat connecten (en dan in je routing zorgen, dat die requests over een andere gateway worden gestuurd dan de default gateway).

Een compleet "schaduwnetwerk" gaan aanleggen (en dan nog wireless ook) voor 1 relatief eenvoudige toepassing lijkt mij ongewenst.

[ Voor 19% gewijzigd door Verwijderd op 26-02-2010 15:28 ]

[Arnout]

Je kan een extra lijn besparen door een fatsoenlijke router neer te zetten die bepaald verkeer voorrang geeft, te beginnen met ACK's voorrang geven. Dan heb je in ieder geval een meer responsieve verbinding, scheelt op den duur ook geld.

[Infant]

Ik gebruik voor exact dit probleem het programma WinGate. Deze kunt je instellen als proxy server, of je kunt verschillende poorten en verbindingstype door routen over 1 bepaald NIC.
Ik gebruik het om over 1 ADSL en 1 Kabel internet verbinding, van nieuwsgroepen te downloaden.

[enveekaa]

bramgozer schreef op vrijdag 26 februari 2010 @ 15:11:
Netwerk kennis is wel aanwezig
De medewerkers starten het reserverings systeem via een link in de NAL (novell application launcher) op
Ik zat te denken om misschien daar een parameter toe te voegen waardoor er een roaming profile van firefox gebruikt wordt die de juiste proxy instellingen voor de gateway van de draadloze router heeft.

Ok mooi

Kan je dan niet een static route toevoegen op de pcs van die medewerkers om voor NAL gebruik te maken van een aparte lijn?

[bramgozer]

We waren zelf ook al aan het overwegen om de BM server (NAT en firewall) eruit te halen, aangezien hij niet meer doet als dat, firewall en NAT.
Maar hoe kunnen we dan effectief op de firewall/NAT die ervoor in de plaats komt het database beheer eruit laten filteren en prioriteit geven? Dit gaat namelijk via http(s), en een hoop downloads tegenwoordig ook..
Dank jullie wel voor de reacties trouwens!

[enveekaa]

Je hoeft niet perse op basis van pakketinhoud QoS toe te passen, dat kan ook op source en/of destination address om maar eens een zijstraat te noemen.

[lordgandalf]

het verkeer zal toch ooit een verbinding moeten maken en zichzelf kenbaar moeten maken dus de verbindingen naar het reserveringen systeem hebben een unieke url of ip waar het vandaan komt.
Daarnaast is het niet slim om die media databank ergens lokaal te hosten en te updaten.
Dan heb je 1 keer in de zoveel tijd dat je mega veel verkeer hebt ipv iedere keer als iemand dat nodig heeft of desnoods gooi je er een proxy voor

[bramgozer]

enveekaa schreef op vrijdag 26 februari 2010 @ 15:50:
Je hoeft niet perse op basis van pakketinhoud QoS toe te passen, dat kan ook op source en/of destination address om maar eens een zijstraat te noemen.

Dat klinkt inderdaad als een mooie oplossing, heeft er iemand ervaring met een device dat deze mogelijkheden in 1 heeft?, dus firewall, NAT en loadbalancing.

lordgandalf schreef op vrijdag 26 februari 2010 @ 16:08:
het verkeer zal toch ooit een verbinding moeten maken en zichzelf kenbaar moeten maken dus de verbindingen naar het reserveringen systeem hebben een unieke url of ip waar het vandaan komt.
Daarnaast is het niet slim om die media databank ergens lokaal te hosten en te updaten.
Dan heb je 1 keer in de zoveel tijd dat je mega veel verkeer hebt ipv iedere keer als iemand dat nodig heeft of desnoods gooi je er een proxy voor

De beeldenbank staat in Estland omdat daar ook de ontwerpen voor de flyers gemaakt worden, en de webserver daar staat.

[enveekaa]

bramgozer schreef op vrijdag 26 februari 2010 @ 16:18:
[...]

Dat klinkt inderdaad als een mooie oplossing, heeft er iemand ervaring met een device dat deze mogelijkheden in 1 heeft?, dus firewall, NAT en loadbalancing.


[...]


De beeldenbank staat in Estland omdat daar ook de ontwerpen voor de flyers gemaakt worden, en de webserver daar staat.

Ik heb even snel voor je gekeken op een Watchguard x550e en je kan per rule QoS en traffic prio opgeven, daar moet je dus een heel eind meekomen. Dot model ondersteund ook failover / loadbalencing met meerdere WAN verbindingen. Je kan dus ook policy based routing gebruiken, dus verkeer naar server A over lijn X en verkeer naar de rest van de werkend over lijn Y.

Ik wil je niet perse aan een Watchguard helpen hoor, er zullen meer firewalls zijn die dit ondersteunen

[lordgandalf]

bramgozer schreef op vrijdag 26 februari 2010 @ 16:18:
[...]

Dat klinkt inderdaad als een mooie oplossing, heeft er iemand ervaring met een device dat deze mogelijkheden in 1 heeft?, dus firewall, NAT en loadbalancing.


[...]


De beeldenbank staat in Estland omdat daar ook de ontwerpen voor de flyers gemaakt worden, en de webserver daar staat.

Ja maar jullie gebruiken de beeldenbank vaak zoals ik het begrijp is het dan niet verstandig om in jullie netwerk al het verkeer naar die host via een proxy te laten lopen.
Dan hoeven al die images niet 20x gedownload te worden maar maar 1 keer. kan veel data schelen die over de lijn moet.

[bramgozer]

lordgandalf schreef op vrijdag 26 februari 2010 @ 17:27:
[...]


Ja maar jullie gebruiken de beeldenbank vaak zoals ik het begrijp is het dan niet verstandig om in jullie netwerk al het verkeer naar die host via een proxy te laten lopen.
Dan hoeven al die images niet 20x gedownload te worden maar maar 1 keer. kan veel data schelen die over de lijn moet.

Niet extreem vaak, alleen om te updaten, om de maand ofzo. Maar het probleem doet zich niet alleen dan voor, als een medewerker een HD filmpje streamt bijvoorbeeld doet de vertraging zich ook al voor, en dit zorgt voor veel stress bij de overige mensen, vooral als het druk is zoals in deze periode.

[Arnout]

bramgozer schreef op vrijdag 26 februari 2010 @ 16:18:
[...]

Dat klinkt inderdaad als een mooie oplossing, heeft er iemand ervaring met een device dat deze mogelijkheden in 1 heeft?, dus firewall, NAT en loadbalancing.

Ja, die heb je al, dat is die server. Daar zet je Linux op (als dat er al niet op staat) en met netfilter kun je een extreem goede router met QoS bouwen.

[enveekaa]

Dan bouw je eigenlijk je eigen firewall, hoe zit het met ondersteuning? garantie?

[Verwijderd]

enveekaa schreef op maandag 01 maart 2010 @ 10:05:
Dan bouw je eigenlijk je eigen firewall, hoe zit het met ondersteuning? garantie?

Die heb je dan niet.

Maar je kunt dit ook met een Cisco, Juniper, Checkpoint of 1 van de andere aangedragen mogelijkheden. Dan heb je wel garantie en support.

[bramgozer]

Arnout schreef op vrijdag 26 februari 2010 @ 22:35:
[...]

Ja, die heb je al, dat is die server. Daar zet je Linux op (als dat er al niet op staat) en met netfilter kun je een extreem goede router met QoS bouwen.

enveekaa schreef op maandag 01 maart 2010 @ 10:05:
Dan bouw je eigenlijk je eigen firewall, hoe zit het met ondersteuning? garantie?

Verwijderd schreef op maandag 01 maart 2010 @ 11:56:
[...]

Die heb je dan niet.

Maar je kunt dit ook met een Cisco, Juniper, Checkpoint of 1 van de andere aangedragen mogelijkheden. Dan heb je wel garantie en support.

Dit is inderdaad het probleem. Als het nou een bedrijf zou zijn dat zich specialiseerd in zulke zaken is het misschien nog te overwegen. In dit geval is een 'kant en klare' oplossing beter geschikt.
Ik zal binnenkort eens gaan kijken wat voor opties er allemaal zijn, bedankt voor jullie hulp!

[ Voor 10% gewijzigd door bramgozer op 01-03-2010 13:26 ]

[enveekaa]

Verwijderd schreef op maandag 01 maart 2010 @ 11:56:
[...]

Die heb je dan niet.

Maar je kunt dit ook met een Cisco, Juniper, Checkpoint of 1 van de andere aangedragen mogelijkheden. Dan heb je wel garantie en support.

Dat is me hele punt En dat wil je, zeker als bedrijf gewoon wel..