[TMG & Cisco] 2 WAN verbindingen, loadbalancing, failover.

[RazorBlade72nd]

Situatie:
Hoewel het om een thuis situatie gaat, probeer ik een bedrijfsnetwerk omgeving te bouwen op een Hyper-V server. Ik heb twee ISP’s: XS4ALL en UPC. Ik heb het kabelmodem van UPC en de ADSL router van XS4ALL (Thomson speedtouch 546) verbonden met mijn Cisco 891 router. De Speedtouch fungeert als een bridge en op de Cisco komt het signaal van mijn provider binnen als PPPoE.

Op de server die verbonden is met de Cisco 891 router wil ik eerst al het verkeer langs een TMG firewall laten gaan. De TMG firewall zal verder verbonden worden aan een DMZ waar de webserver in komt te zitten, een server lan waar verschillende servers in komen te zitten en aan een fysieke netwerkadapter waar achter het fysieke LAN van mijn huis komt te zitten. In het fysieke LAN komt waarschijnlijk ook een wireless access point, maar misschien komt het wireless ook op een apart lan.

vragen
Mijn vragen gaan echter over het gedeelte tussen de TMG en het Internet. TMG heeft de mogelijk om aan twee providers te koppelen maar de Cisco heeft dat ook. De eerste vraag is of het uberhaupt mogelijk is om het verkeer van de twee ISPs gescheiden te houden in aparte VLAN’s op de Cisco. Dan zou het verkeer tussen de Cisco en de Hyper-V server over een trunk poort gaan. De TMG VM zou dan twee virtuele netwerkadapters krijgen richting het Internet die op de twee verschillende VLAN’s zijn aangesloten. De tweede vraag is dus wat slim is. Moet ik loadbalancing en failover door de TMG laten regelen of door de Cisco. Wat zijn de voordelen van Cisco en van TMG? Denk bijvoorbeeld aan de snelheid van een failover, en ook aan het feit dat de snelheden van de ISP’s niet gelijk zijn (UPC 10 Mbit en XS4ALL 20 Mbit).

Wat heb ik tot nog toe gevonden:
Voor failover op de Cisco heb ik twee artikelen gevonden op de Cisco website: hier en hier.
Dit heeft echter meer te maken met loadbalancing van twee gelijke netwerkverbindingen. Bij TMG heb ik wel mogelijkheden gevonden om de load te verdelen over twee ISPs:
hier
Ik begrijp overigens dat sessies die al open staan niet zullen worden over genomen tijdens een failover. Ik heb geen permanente sessies lopen dus dat probleem is niet groot.

[Bl@ckbird]

Ik heb totaal geen ervaring met TMG, maar uit je linkje begrijp ik dat je hiermee een bepaalt percentage van het verkeer ISP A op kan sturen en een de rest naar ISP B. Ik neem aan dat het dat dan is... En verder geen fancy features heeft. ( Maar goed... Geen ervaring met TMG dus... )

Een router is gebouwd om te routeren. Dus loadbalancing over 2 ISP's, zou ik gewoon door de router laten doen. Het mooiste is om te loadbalancen met een routeringsprotocol, zoals BGP of OSPF. Maar je ISP moet dit wel ondersteunen. ( Dan dat doet men alleen bij erg grote klanten :-) )

Voor kleinere situaties heb je verschillende opties:
- Enhanced Object Tracking:
ISP A = down, ISP B neemt over. Dus een of/of situatie. Er wordt hierbij 2 of meer objecten getracked / geping. Bij geen reactie wordt de verbinding omgegooid.

- Policy Based Routing ( PBR )
Op basis van een policy, stuur je verkeer een bepaalde interface uit. Bijvoorbeeld het tijdstip van de dag, TCP poort, source IP adres, enz.

- Cisco Performance Routing ( PfR )
PfR is een extentie van Optimized Edge Routing. (OER) Op basis van parameters kan je verkeer een bepaalde interface uit sturen. (Zoals bandwidth utilization, jitter en delay.) Wordt een verbinding maximaal gebruikt, of wordt de latency teveel, dan wordt verkeer via de secundaire ISP gerouteerd.

Met de CLI kan je al deze zaken bouwen.
De GUI CCP heeft in ieder geval ondersteuning voor PfR.

Voor wat linkjes zie:
Bl@ckbird in "Dual wan oplossing, Ziggo&KPN, load bala..."

Overigens kan je alleen outbound verkeer loadbalancen. Hosts op internet weten namelijk niet dat één en hetzelfde netwerk achter twee verschillende ISP's zit. (Dan zou je dus iets als BGP moeten gebruiken.)

[RazorBlade72nd]

Bl@ckbird, heel erg bedankt voor de uitleg. Ik denk dat ik voor PFR ga. Ondanks dat mijn router een 891 is, wordt het volgens de datasheet bij Cisco wel ondersteund. In de tabellen bij OFR zeggen ze echter dat het pas wordt ondersteund in vanaf de 1800 reeks. Ik heb de handleidingen van Cisco gedownload en in mijn e-reader gezet en zal er eens voor gaan zitten.

TMG is overigens geen tooltje waarmee je uitsluitend met een slider netwerkverkeer kan loadbalancen tussen twee providers. Het is de enterprise firewall van Microsoft. (opvolger van ISA) Ik ben het met je eens dat de router waarschijnlijk beter is in routeren en de firewall beter in deep packet inspection. Beide kunnen ze het alle twee maar je moet altijd het beste gereedschap kiezen voor de taak.

[Bl@ckbird]

De 891 is een nieuwere router en Cisco heeft de info van PfR nog niet geüpdate voor deze nieuwe routers.
De firewall feature set van de routers is best uitgebreid. Maar sommige mensen geven voorkeur aan een dedicated security box. ( TMG of Cisco ASA )

Uitgebreide configuration Guides voor IOS vind je op:
http://www.cisco.com/en/U...guides_list.html#anchor11

Niet elke feature wordt ondersteund op elke router.
Dit kan je checken met de Feature Navigator:
http://www.cisco.com/go/fn

[RazorBlade72nd]

Ik heb gezocht naar duidelijke informatie over PfR maar heb nog geen echt goede tutorial kunnen vinden. De officiële handleiding gaat een beetje boven mijn pet. Misschien dat iemand mij iets verder kan helpen. Ik heb het voorbeeld gevolgd in de Q&A Ik denk alleen dat het niet goed gaat met NAT. Ik heb geprobeerd om NAT werkend te krijgen met route-map. Omdat ik daar ook niet mee bekend ben heb ik maar een standaard voorbeeld gevolgd dat hier staat. Hier kwam ik er achter dat er ook een toevoeging “OER” aan het NAT commando gegeven kan worden, maar dat je dan de interface moet veranderen in Virtual-template 1. Ook dat heeft niet geholpen.

Wat er gebeurt is dat ik even geen internet connectie meer heb na het instellen. Daarna heb ik even wel een Internet connectie om hem vervolgens weer te verliezen en niet meer terug te krijgen. Ik vind het idee achter deze manier van routeren wel heel erg mooi maar het moet natuurlijk wel werken. Weet iemand misschien wel een goede tutorial te staan die ook voor beginners op Cisco gebied te volgen is? Of weet iemand waarom het bij niet werkt?

[Bl@ckbird]

Dit geeft een aardig overzicht. Zaken die ik niet nodig heb van zo'n guide lees ik altijd overheen. ( Maar voor het algemeen begrip is het handig om het globaal door te lezen. )

Eventueel kan je de CCP tool gebruiken die met de router geleverd wordt.
Voordat je een configuratie naar de router stuurt, kan je de gebruikte commando's zien.
Zo leer je ook nog wat van de GUI tool.

In CCP zit Cisco PfR onder Configure --> Router --> Advanced Router --> Performance Routing