HSRP setup

[xares]

Wij hebben sinds kort 2x Cisco switches draaien, 1x Cisco 3750G en 1x Cisco 3550.
Het is de bedoeling dat Cisco 3750G de actieve router wordt en de 3550 fallback.

Nu krijgen wij 2 uplinks van onze provider (redundant met VRRP). Voor VRRP hoeven wij zelf niks te doen. Onze /24 wordt gerouteerd via next-hop adres welke op onze Cisco staat.

De switches welke achter de "core-setup" komen willen wij ook redundant uitvoeren via HSRP.
Deze avond ben ik hier mee bezig geweest, echter krijg ik het niet werkend.

Het probleem is dat de Cisco-2 (3550) op een gegeven moment zegt: "Duplicate address 192.168.1.1 on Vlan100, sourced by 000f.xxx.xxx.xx"

Waarschijnlijk komt dit omdat de 3550 de 3750G niet kan bereiken en dus voor active gateway gaat spelen. Echter zou dit ook weer tegenspreken omdat hij vermeld dat het adres 192.168.1.1 duplicate is...

Ik weet niet goed hoe ik de link tussen de 2 switches moet configureren voor HSRP. Moet ik daarvoor vlan 100 en 101 taggen op poort 10 (de link tussen cisco 1 en 2) of juist niet?

Want zodra ik dat doe dan knalt de gateway eruit omdat beide routers gateway willen spelen.

Huidige configuratie: http://pastebin.com/394NXGWj

Op Cisco-2 is deze hetzelfde echter dan met prio 35 bij HSRP.

Ik ben benieuwd of iemand mij kan helpen:)

[Kabouterplop01]

default prio van hsrp is 100
Als je een dubbel ip adres in je lan krijgt moet je kijken met sh standby dan zul je zien dat er een failover heeft plaatsgevonden. (die nu niet lukt !)
met sh standby moet je en de local router en de standby router kunnen zien
Ja de link tussen de 2 switches moet beide vlans bevatten.
(trunk)

en natuurlijk de goede ip adressering.
Overigens zou ik niets aan de hsrp timers doen; nu heb je het trager gemaakt.

offtopic: ik zou ip cef aanzetten dat is sneller dan fast switching (weet niet of het default aanstaat in die switch)

[Ascension]

Dat is logisch als je op beide switches 192.168.1.1 hebt geconfigureerd als fysiek adres (dat maak ik op uit je verhaal)

Switch 1 moet zijn:
interface Vlan100
description servers
ip address 192.168.1.2 255.255.255.128
standby 1 ip 192.168.1.1
standby 1 timers 5 15
standby 1 priority 35
standby 1 preempt
standby 1 authentication geh31m

Switch 2 moet zijn:
interface Vlan100
description servers
ip address 192.168.1.3 255.255.255.128
standby 1 ip 192.168.1.1
standby 1 timers 5 15
standby 1 priority 30
standby 1 preempt
standby 1 authentication geh31m

[xares]

Hm inderdaad,

ip address 192.168.1.3 255.255.255.128
standby 1 ip 192.168.1.1

Heb ik omgedraait staan, vandaar dat hij komt met dubbel IP-adres.

Dus de link tussen beide switches moet ook dit zijn?

switchport trunk encapsulation dot1q
switchport trunk allowed vlan 100,101
switchport mode trunk

Nu dacht ik net nog aan een probleem. Stel de link tussen beide Cisco's valt weg (Gbic module kapot bijvoorbeeld). Dan gaan ze beide voor gateway spelen, de switches welke onder de routers hangen hebben dan 2x een gateway op hetzelfde ipadres in het netwerk. Want in feite draait router 1 dan nog gewoon.

Maar de Cisco 3550 heeft dan geen link naar het internet omdat onze VRRP link die we aangeleverd krijgen nog actief is op router-1. Dan zouden we downtime hebben. Is daar ook een oplossing voor?

Alvast bedankt, ik ben al een stukje verder:)

[ Voor 13% gewijzigd door xares op 20-11-2011 11:48 ]

[Ascension]

Heb je onder je 3750 en 3550 nog access switches hangen die met beide verbonden zijn?

Dan kunnen VLAN100 en 101 alsnog via de access switches elkaar vinden. Zorg er overigens wel voor dat je spanning-tree priorities matchen met HSRP. De active HSRP switch moet dus ook root zijn voor dat VLAN (geen harde vereiste maar zorgt er wel voor dat het verkeer niet alsnog via je standby switch loopt).

[xares]

Ja er hangt nu 1 access switch onder en daar hangen servers aan.

Maar nu zeg je STP, dit heb ik toch niet nodig omdat vlan 100 en 101 elkaar dan nog kunnen vinden via de access switch? Anders gaat hij de poort naar de 3550 dicht zetten lijkt mij?

[Ascension]

Ik neem aan dat je op beide access switches VLAN 100 en 101 toestaat op de trunks naar de 3750 en 3550. Dus heb je spanning-tree nodig anders krijg je een loop. Je access switch zou de poort naar de 3550 dicht moeten zetten als de 3750 je root is, mocht de link tussen je 3750 en 3550 plat gaan dan gaat ie in forwarding

[xares]

Nu je het zegt ja.

Cisco 1: standby 1 priority 150
Cisco 2: standby 1 priority 100

HP SWITCH:

spanning-tree ethernet 23 150 (link naar 3750)
spanning-tree ethernet 24 100 (link naar 3550)

Heeft het nog zin om de hello-time hetzelfde in te stellen als HSRP van de Cisco's?

Nu zit ik nog te twijfelen over de timers van HSRP. Standaard is de timer van HSRP 3 hello-packets volgens mij?

Ik wil de timers van HSRP op timers 1 3 zetten. Elke 1 sec hello timer en na 3 sec een failover.
Zag zojuist ook dat je msec kan instellen, echter is dat een beetje overdreven lijkt mij.

[xares]

Zojuist alles getest tijdens het onderhoud venster. HSRP werkt nu gelukkig:)

Het schakelen onderling werkt prima nu. Echter gaat het fout zodra ik de 2de uplink naar onze provider erbij gooi. Dan geeft hij aan op beide Cisco's: Duplicate address 192.168.8.219 on port 12

Het blijft wel gewoon werken totdat ik van de 3750 de link naar onze provider eruit haal. Dan zou al het verkeer over de 2de uplink moeten gaan draaien. Intern zou HSRP niks hoeven doen omdat ze via de onderlingen verbinding als nog bij de provider kan komen zou je zeggen.

Ook heb ik de STP en de STP prio's ingesteld op de HP, en als beide links actief zijn blijven beide poorten op forwarding staan. Dat zou betekenen dat er geen loop is?

Voor nu de Cisco 3550 er weer tussen uit gehaald voor de zekerheid.

[WhizzCat]

1 poort moet in blocking gaan als je STP goed werkt. Let je nu wel op dat je layer2 en layer3 dingen door elkaar gaat doen? Dat is misschien niet de meest handige methode om dit op te lossen.

Wat voor HP switches heb je? Specifieker, wat voor licenties heb je er op draaien? Is het niet veel praktischer om je routering op die core switches te doen ipv. losse cisco's?

Anyway, tussen je provider en je cisco's zal je een soort koppelnetwerk moeten maken. Ik heb dit probleem al wel eens bij de hand gehad met 4 cisco's. Ik zal even kijken of ik 't uit kan tekenen:

code:

Cisco 1 O-----------------------HSRP link ISP --------------------------O Cisco 2
                                      |
                               virtual IP als def. gw
                                      |
Cisco 1 van jou O-------HSRP netwerkje van jou EXTERN------------O Cisco 2 van jou
                                      | (routing 0.0.0.0/0 virtual IP van je ISP)
Cisco 1 van jou O-------HSRP netwerkje van jou INTERN------------O Cisco 2 van jou
                                      | (routing LAN/WAN)
                      virtual IP als def. gw voor je interne netwerk
                                      |
                                 (de rest)

Ik hoop dat je ongeveer snapt wat ik hier mee bedoel, echt makkelijk is 't niet

[xares]

Ik snap je tekening helemaal, alleen dan wordt het helemaal ingewikkeld.

Ik ga vragen of onze ISP voor de 2de uplink een ander IP-adres als nexthop kan instellen, dat is een stuk makkelijker voor ons.

De HP switch is een HP 2810-24G, een layer 2 switch dus. De STP instellingen van de HP ga ik zo even doornemen.

[WhizzCat]

Ah ok, dat is dan helder. Dat maakt het weer iets anders. een 2e uplink zou inderdaad praktischer zijn, maar dan heb je wel meer down time denk ik

[xares]

Ik heb even overlegt met onze ISP. Het beste is toch om ook HSRP te gebruiken voor het next-hop adres.
Deze week gaan we het even proberen, ik laat het hier nog weten:)

[xares]

Daar ben ik weer:)

Ik krijg het nog niet helemaal werkend. HSRP tussen de 2 uplinks van onze provider werkt nu super. We missen nu max. 1 ping:)

Enkel HSRP tussen onze Cisco's en Access switch werkt nog niet helemaal. Nu heb ik dit even getest vorige week en nog wat uitgedacht.

Optie 1
----------------------------------------------------------------------------------------
- Zonder link tussen beide Cisco's
- Poort 11 op de Cisco 3750 valt uit (poort naar onze Access switch toe)

Wat gebeurd er?
- Vlan 100 en 101 gaan down op Cisco 3750 (HSRP)
- Vlan 100 en 101 gaan UP op Cisco 3550 (HSRP)

Echter blijft de Cisco 3750 nog steeds de actieve link houden met onze internet provider omdat deze poort het nog doet.

Nu zou ik een track op poort 11 kunnen zetten zodat hij de priority omlaag gooit als poort 11 down gaat. Dan gaat de Cisco 3550 ook met onze internet provider praten.

Echter is dit niet wenselijk omdat er ook klanten met eigen access switches komen te hangen, dit zou betekenen dat als het op 1 switch fout gaat van een klant dat onze link naar de provider ook onderbroken wordt en alles moet omswitchen.
----------------------------------------------------------------------------------------


Optie 2
----------------------------------------------------------------------------------------
- Met link tussen beide Cisco's
- Poort 11 op de Cisco 3750 valt uit (poort naar onze Access switch toe)

Wat gebeurd er?
- Vlan 100 en 101 gaan _niet_ down op Cisco 3750 (HSRP) omdat vlan trunk naar Cisco 3550 gaat??
- Vlan 100 en 101 blijft down op Cisco 3550 (HSRP)

Het lijkt mij dat STP niet in actie hoeft te komen op de Access switch omdat VLAN 100 en 101 down is op Router 2? Dat doet het overigens ook niet.

Zodra ik poort 11 de fiber uit de switch trek dan krijg ik allemaal TTL verlopen errors en timeouts. Dit lijkt dus niet te werken?
----------------------------------------------------------------------------------------

Dat is een heel verhaal, ik heb even een tekening gemaakt + de configuraties geupload. Misschien dat het wat verduidelijkt wordt.

Wat lijkt jullie de beste oplossing?

Cisco 3750 config: http://pastebin.com/gMVLFNR8
Cisco 3550 config: http://pastebin.com/GWn3qhwJ

Netwerktekening: http://imageshack.us/photo/my-images/853/tweakers.jpg/

[Verwijderd]

Heb je al geprobeerd om de verbinding tussen jou 2 Cisco switches te wijzigen naar een L3 routed link?
Ik denk dat je dan het probleem oplost met HSRP bij het overschakelen. Ook ben je meteen van je STP af.

[xares]

Hm daar zit wat in.. gewoon "no switchport" dus?

Kan je wel 2 L3 routed links hebben op 1 Cisco?

[Verwijderd]

xares schreef op zaterdag 03 december 2011 @ 14:43:
Hm daar zit wat in.. gewoon "no switchport" dus?

Kan je wel 2 L3 routed links hebben op 1 Cisco?

Het is gewoon mogelijk om meer dan 1 routed link op 1 Cisco te hebben.
Inderdaad 'no switchport' en vervolgens IP adressen instellen. Ook moet je er voor zorgen dat je routing hebt tussen je 2 switches.

Het enige probleem dat je hebt is als de verbinding tussen jou access switch en de hoofdswitch (RTR1 3750G) uitvalt, de verbinding via de RTR2 (3550) terug naar de RTR1 en dan naar RTR1 van het datacenter gaat. De bottlenek hierin is de 100mb verbinding tussen de 3550 en de 3750G.
Als dit geen probleem is dan zou ik voor deze optie kiezen of op zoek gaan naar een switch met meer Gigabit poorten.

[xares]

Hm, ik snap hem nog niet helemaal.

Welke routes zou ik in moeten stellen?

ip route 0.0.0.0 0.0.0.0 192.168.1.217 bestaat al en gaat naar de gateway van onze internet provider. Dat IP-adres zou hij moeten bereiken via de andere switch.

[xares]

In alle voorbeelden op internet zie ik het volgende staan voor de verbinding tussen de 2 Cisco's.

switchport trunk encapsulation dot1q
switchport mode trunk

Ik gebruik hetzelfde enkel dan nog met "switchport trunk allowed vlan 100,101" erbij.

Zou dat nog iets uitmaken? Ik ga het vanavond even proberen iig.

[xares]

Nu gebruik ik het volgende in de Config op de poorten tussen de Cisco's zelf.

switchport trunk encapsulation dot1q
switchport mode trunk

Met deze config werkt het perfect, blijkbaar is er toch een loop en houdt de Cisco 3750G dit tegen ipv de HP switch.

Nu moet ik nog even met de (r)STP timings gaan spelen op de Cisco 3750G zodat deze wat sneller om gaat switchen. Ik mis nu ongeveer 5 pings als ik een van de stekkers eruit trek naar de HP switch.

5 pings is nog te veel eigelijk, dus daar ga ik morgen mee verder. Eerst even een configje uittekenen voordat ik het live ga testen:)

Nu zit ik toch nog met een vraagje, kan het ook zonder STP tussen 2 Cisco's op Layer 3 niveau? Zo ja heeft iemand een voorbeeldje, ik kan zo niks bedenken hoe dat zou moeten kunnen werken.

[xares]

Zo het werkt _pefect_ nu! Ik mis nu 1 ping als ik de uplink eruit trek:)

Nu zit ik toch nog met de laatste vraag welke ik uit interesse wil weten:

"Kan het ook zonder STP tussen 2 Cisco's dus op Layer 3 niveau? Zo ja heeft iemand een voorbeeldje, ik kan zo niks bedenken hoe dat zou moeten kunnen werken."

[WhizzCat]

xares schreef op zaterdag 17 december 2011 @ 22:25:
Zo het werkt _pefect_ nu! Ik mis nu 1 ping als ik de uplink eruit trek:)

Nu zit ik toch nog met de laatste vraag welke ik uit interesse wil weten:

"Kan het ook zonder STP tussen 2 Cisco's dus op Layer 3 niveau? Zo ja heeft iemand een voorbeeldje, ik kan zo niks bedenken hoe dat zou moeten kunnen werken."

Ja, met routing. Dan moet je iets met OSPF gaan doen, maar dat duurt denk ik langer dan de situatie zoals je hem nu hebt. OSPF convergentie kan vrij lang duren

[Predator]

WhizzCat schreef op maandag 19 december 2011 @ 09:03:
[...]


Ja, met routing. Dan moet je iets met OSPF gaan doen, maar dat duurt denk ik langer dan de situatie zoals je hem nu hebt. OSPF convergentie kan vrij lang duren

OSPF convergentie die lang duurt OSPF is doorgaans erg snel... in tegenstelling tot bv BGP.

[WhizzCat]

Predator schreef op maandag 19 december 2011 @ 11:20:
[...]

OSPF convergentie die lang duurt OSPF is doorgaans erg snel... in tegenstelling tot bv BGP.

Beetje afhankelijk van de settings natuurlijk, maar ik vind 't iig langer duren dan RSTP

[Verwijderd]

WhizzCat schreef op maandag 19 december 2011 @ 15:29:
[...]


Beetje afhankelijk van de settings natuurlijk, maar ik vind 't iig langer duren dan RSTP

Je kunt ook EIGRP gebruiken dan heb je ook niet de kosten van een IP services image en EIGRP zou sneller moeten zijn. (Timers beetje bijstellen)

[WhizzCat]

Verwijderd schreef op maandag 19 december 2011 @ 21:20:
[...]

Je kunt ook EIGRP gebruiken dan heb je ook niet de kosten van een IP services image en EIGRP zou sneller moeten zijn. (Timers beetje bijstellen)

Mja, als je niet wil uitbreiden is dat prima, maar OSPF is natuurlijk meer compatible dan EIGRP

[xares]

Thanks allemaal:)

Ik blijft rSTP gebruiken, werkt toch het makkelijkst.
En dan kan ik het ook zelf debuggen als er iets mee is.

[Verwijderd]

Heb net ff zitten testen maar het is ook helemaal niet mogelijk om in jou situatie een L3 link tussen de 2 switches op te zetten omdat het problemen geeft als de kabel van de primaire switch naar de access switch wegvalt.
Het core netwerk weet dan namelijk niet dat het pakketjes terug moet sturen naar de backup switch en voor de primaire switch blijft de vlan interface up maar kan hij zijn pakketjes niet kwijt. De primaire switch kan ook niet zomaar gaan routeren via de backup switch als hier een L3 verbinding tussen zit.

Dus mooi dat je voor STP hebt gekozen want anders was het als nog fout gegaan.