[advies gevraagd] simpele router voor publieke ip-range

[woekele]

Situatie: we hebben hier een glasverbinding afgemonteerd op UTP. Hierop zit een publiek IP uit een /30-subnet, laten we zeggen: 80.81.82.83. Als gateway (van de provider) kan 80.81.82.82 gebruikt worden.

Daarnaast hebben we een /29-reeks toegewezen gekregen, laten we zeggen: 70.71.72.73 - 70.71.72.80. In de routeringstabellen van de provider staat 80.81.82.83 ingesteld als de next-hop voor deze reeks.

Om deze reeks te gaan gebruiken wil ik graag een router inzetten. Deze krijgt dan dus het externe IP 80.81.82.83 en gebruikt als gateway 80.81.82.82. Als intern adres krijgt deze 70.71.72.74. Dan kan ik nog 70.71.72.75 - 70.71.72.79 gebruiken voor daadwerkelijke publieke servers en deze aansluiten op de interne kant van de router.

Vraag:
Nu vraag ik me af welke router hiervoor geschikt is. Belangrijk is dat het volledig transparant is. Er moeten namelijk VPN's e.d. over gaan lopen en de router moet zich hier verder niet in mengen. Hij moet dus ook geen NAT oid gaan doen. De servers met publiek ip-adres moeten gewoon op hun eigen publieke adres beschikbaar zijn en via hun eigen publieke ip-adres naar buiten babbelen.

Het liefst een simpele goedkope router, want firewalling etc. etc. zullen we op de publieke servers zelf doen, niet op de router. Maar hij moet dus wel 'geavanceerd' genoeg zijn om volledig transparant zijn werk te doen.

Weet iemand iets? Ik kom met google veel mensen tegen die DD-WRT e.d. inzetten, maar ik zou graag vanwege eisen binnen de organisatie een originele firmware gebruiken van een fabrikant met support. Ook kom ik mensen tegen die een dure cisco-router inzetten, maar dat is weer overkill.

[ Voor 4% gewijzigd door woekele op 18-03-2013 10:40 ]

[Foeijonghaai]

woekele schreef op maandag 18 maart 2013 @ 10:37:
Situatie: we hebben hier een glasverbinding afgemonteerd op UTP. Hierop zit een publiek IP uit een /30-subnet, laten we zeggen: 80.81.82.83. Als gateway (van de provider) kan 80.81.82.82 gebruikt worden.

Daarnaast hebben we een /29-reeks toegewezen gekregen, laten we zeggen: 70.71.72.73 - 70.71.72.80. In de routeringstabellen van de provider staat 80.81.82.83 ingesteld als de next-hop voor deze reeks.

Om deze reeks te gaan gebruiken wil ik graag een router inzetten. Deze krijgt dan dus het externe IP 80.81.82.83 en gebruikt als gateway 80.81.82.82. Als intern adres krijgt deze 70.71.72.74. Dan kan ik nog 70.71.72.75 - 70.71.72.79 gebruiken voor daadwerkelijke publieke servers en deze aansluiten op de interne kant van de router.

Vraag:
Nu vraag ik me af welke router hiervoor geschikt is. Belangrijk is dat het volledig transparant is. Er moeten namelijk VPN's e.d. over gaan lopen en de router moet zich hier verder niet in mengen. Hij moet dus ook geen NAT oid gaan doen. De servers met publiek ip-adres moeten gewoon op hun eigen publieke adres beschikbaar zijn en via hun eigen publieke ip-adres naar buiten babbelen.

Het liefst een simpele goedkope router, want firewalling etc. etc. zullen we op de publieke servers zelf doen, niet op de router. Maar hij moet dus wel 'geavanceerd' genoeg zijn om volledig transparant zijn werk te doen.

Weet iemand iets? Ik kom met google veel mensen tegen die DD-WRT e.d. inzetten, maar ik zou graag vanwege eisen binnen de organisatie een originele firmware gebruiken van een fabrikant met support. Ook kom ik mensen tegen die een dure cisco-router inzetten, maar dat is weer overkill.

De functionaliteiten die je wil kun je (meestal) met simpel consumentenspul niet halen. Dat is meestal NAT.

Wat overblijft zijn semi-professionele oplossingen (mikrotik, draytek), zelfbouw (linux, bsd) of professioneel (cisco, juniper, etc).

Ik denk dat het er op neer komt dat je moet kijken naar gewenste performance, gewenste configureerbaarheid, beschikbare modellen van professionele en semi-professionele fabrikanten en dan een keuze moet maken.

Je noemt Cisco duur, maar dan heb je wel support. Je kan iets zelf bouwen, dan is het (mogelijk/schijnbaar) goedkoper, maar dan heb je geen support.

[Bastiaan V]

De apparaten welke, toen linksys nog linksys was, rv042 rv082 enz heetten kunnen dit allemaal. Er zijn recent nog nieuwe varianten uitgekomen, al heeft cisco ze wellicht een andere naam gegeven

[woekele]

We gaan eerst voor een Draytek. We zullen zien hoe het gaat.

[DJSmiley]

Ik heb zelf dergelijke oplossingen wel eens op een Sonicwall gedaan. Eigenlijk elke router kan dit wel, mits je NAT maar kunt uitzetten. Je kan t in principe ook op een L3 switch doen

[WhizzCat]

pfSense, Vyatta, Cisco, Juniper, het is maar net hoeveel geld je er in wil stoppen

Met een pfSense/Vyatta oplossing kan je wel goedkoop testen of alles werkt zoals je wil. Daarna kan je eventueel een wat duurdere hardware oplossing zoals een Cisco kopen

[woekele]

Het lullige aan die duurdere oplossingen is dat we al die extra features die je automatisch erbij 'krijgt' helemaal niet willen op deze plek. Firewalls/vpn's/etc., dat willen we allemaal pas doen NA die eerste router en daar hebben we al duurdere apparatuur voor.

Dus ja, de simpelste router die 10Mbit routeren aankan, NAT uit kan zetten, de WAN-poort hard kan instellen op 10Mbit (vereiste die ik vergeten was in de OP) en VPN-verkeer gewoon netjes met rust laat... dat is prima Nou ja, we zullen zien wat de Draytek 2130 ervan bakt.

[WhizzCat]

Hmm, ok. Ik zou daar persoonlijk niet voor kiezen want je introduceert weer een SPOF met een extra apparaat. Dan kan je net zo goed iets inzetten wat deze mogelijkheid ook heeft en tevens voor firewalling, VPN etc. wordt gebruikt. Dan kan je je budget nl. verhogen en dus een beter apparaat met betere support kopen. Lijkt mij handiger

Vyatta en pfSense kan je overigens heel simpel in cluster neerzetten

[Bl@ckbird]

Losse routers zie ik eigenlijk alleen gebruikt worden door ISP's als CPE apparaat. ( Als demarcatie punt. )
Voor alle andere situaties worden alles in één apparaten gebruikt; een router die firewalled, of een firewall die route. Als je alleen routeerd kan je overigens af met een veel goedkopere router.

Een Cisco 1941 kan bijvoorbeeld 680Mbps forwarden. Zodra je packets gaat bewerken zakt de performance behoorlijk in. Doe je NAT, ACL's en QoS dan is de performance max 59Mbps. Routeer je alleen, dan kan je prima een 800 routertje nemen. Bouw je zelf met Vyatta of pfSense, kijk dan of je energie zuinige hardware kan gebruiken.

[pablo_p]

Wat ik de simpelste professionele optie vind is een Cisco 2960 switch. Wat je wilt is namelijk routering, geen NAT en geen filtering. Dan is een multilayer switch per definitie het beste geschikt. Die doet dit line-speed in ASICs. Wil je simpele ACL voor filtering dan kan dat ook zonder impact. Veel geavanceerder kan ook niet met dat device. Je hebt dan zeker geen beperkingen in transparantie en performance.

Als je bijvoorbeeld een 2960-8TC-S 2960-8TC-L switch koopt (240 300 euro ex BTX) dan voldoe je aan alle eisen:
- routering
- transparant
- 8 poorten voor aansluitingen van servers en de uplink
- A fabrikant met uitgebreide ondersteunining documentatie

Onderstaand de link hoe je routering op een 2960 kan aanzetten:
http://www.cisco.com/en/U...guration/guide/swsdm.html

P.S. Ik begrijp wat je wilt, maar je subnet voorbeelden kloppen allemaal niet. Het provider subnet in je voorbeeld is 80.81.82.80/30, met beschikbare IP adressen .81 en .82 De NAT reeks is 70.71.72.72 - 70.71.72.79, waarin je IP adres .73 kan gebruiken voor de interconnect router en dan heb je .74-.78 beschikbaar voor devices.

Update 20-03-2013 - De Lan lite versie ondersteunt niet het switchen van sdm template

[ Voor 5% gewijzigd door pablo_p op 20-03-2013 08:38 ]

[woekele]

Tnx voor de waardevolle feedback allen. Die multilayer switch spreekt me erg aan en had ik helemáál niet aan gedacht als mogelijkheid. Volgens mij hebben we zelfs nog zo'n apparaat liggen (24 poorts zelfs, maar dat maakt niet uit), maar dan van HP.

[DrFlash]

Ok van cisco, heb je voor +/- 200 euro een 861 router. deze kan dit allemaal prima doen en is ook een leuk prijsje voor een cisco IOS product.

[Kompaan]

Netgear ProSafe router? SRX5308, FVS336Gv2 afhankelijk hoe snel je glas is.

[pablo_p]

Andere optie: Cisco ASA5505. Kost 240 euro ex BTX. De instap-versie heeft een limiet van 10 inside hosts, maar je hebt er toch maar 5. Als je any-any ACL erop zit filtert hij niets. Dit device geeft je wel later de mogelijkheid te filteren. Performance is 100-150 Mbit dus ruim voldoende. Mogelijkheden van een ASA zijn gigantisch veel groter, bv door gebruik van VPN als je bepaald beheer beter afgeschermd wilt doen.

Je geeft aan dat je het niet nodig verwacht te hebben, dan blijft gelden dat een multilayer switch simpeler is.

Ik zelf zou een ASA5505 neerzetten, zodat ik filtering op meerdere lagen/devices kan doen.

[CyBeR]

woekele schreef op dinsdag 19 maart 2013 @ 12:32:
Tnx voor de waardevolle feedback allen. Die multilayer switch spreekt me erg aan en had ik helemáál niet aan gedacht als mogelijkheid. Volgens mij hebben we zelfs nog zo'n apparaat liggen (24 poorts zelfs, maar dat maakt niet uit), maar dan van HP.

Let wel op dat de HP's bepaalde limieten hebben bij het routen die HP helaas niet vaak lijkt te vermelden en die varieren met het apparaat. Een wat serieuzer apparaat (5400 bijvoorbeeld) kan meer aan dan een simpeler ding (2610 bijvoorbeeld). Als je de limiet te pakken krijgt gaat 't ding over op routen via de CPU en daar is het arme ding compleet niet op ingericht. Als ik 't niet mis heb heeft dat te maken met hoeveel individuele hosts je probeert te bereiken, zowel bij jou als remote.

Ik had 't laatst zelf nog, een 2610 met vier vlans waarvan een voor internet stond alle verkeer (en dat was niet eens van heel veel gebruikers; 10 of 15 maar) te routen via de CPU met als gevolg dat alles met maximaal 5 mbit ging, met hoge latencies en een regen van klachten ('het internet is zo traaaag') erachteraan.

Ik heb daar nu overigens een Juniper SRX210 die alle routing op de CPU doet, maar dan tenminste een CPU heeft die daar wél op ingericht is en die dus zonder blikken of blozen een paar honderd mbit aankan. Als je zo'n ding neemt en je zet 'm in packet mode (default is flow mode) kan 'ie net iets meer dan 900 mbit aan volgens mijn tests.

Je zegt niet welke HP je hebt maar let daar dus op. (Overigens; dit is niet HP-eigen, alle L3 switches hebben dergelijke limieten maar waar die liggen en hoe ze daar mee omgaan is verschillend.)

[ Voor 8% gewijzigd door CyBeR op 20-03-2013 09:28 ]

[woekele]

een 2810-24G

Ik neem aan dat zo'n 2610 als je hem 'gewoon' als switch gebruikt wel meer aankan dan dat

[ Voor 5% gewijzigd door woekele op 20-03-2013 12:05 ]

[Keiichi]

Ik heb een SRX-100 draaien. Die kan alles wat jij wil. Mits goed ingesteld natuurlijk. (Dat geldt voor alle apparaten natuurlijk)

[CyBeR]

woekele schreef op woensdag 20 maart 2013 @ 12:05:
een 2810-24G

Ik neem aan dat zo'n 2610 als je hem 'gewoon' als switch gebruikt wel meer aankan dan dat

Als switch geen probleem idd (dat doet ie nu) maar wel als router. Een 2810 kan als t goed is wat meer aan maar houdt dat wel in de gaten, dwz monitort het CPU-gebruik!

[woekele]

Hm, ik kom op google tegen dat de 2810 niet kan routen, alleen layer2 doet, maar op sommige pagina's staat ook weer van wel, dat hij layer3 lite is. Ach, ik pak hem er gewoon even bij, even checken.

@hieronder: wazig dan dat op zoveel sites staat dat hij layer3 is, maargoed. Het zij zo. Eens kijken of we nog een 2610 oid hebben.

[ Voor 37% gewijzigd door woekele op 20-03-2013 20:05 ]

[CyBeR]

Ah, nou je het zegt. De 2810 is L2, de wat oudere 2824 en 2848 zijn L3.

[ Voor 8% gewijzigd door CyBeR op 20-03-2013 17:07 ]

[Wim-Bart]

CyBeR schreef op woensdag 20 maart 2013 @ 17:07:
Ah, nou je het zegt. De 2810 is L2, de wat oudere 2824 en 2848 zijn L3.

De layer 3 variant heet 2910 :-)

[woekele]

De Draytek Vigor 2130 doet zijn werk inmiddels al een tijdje prima. De gebruikte bandbreedte zal nog wel hoger worden, dus ff afwachten, maar het lijkt goed. Handig dat de Draytek een fast-forward-optie heeft, die voor minder load/latency zou moeten zorgen. Nadeel is dan dat je geen stateful firewall e.d. meer kunt gebruiken, maar dat was toch niet de bedoeling. Overigens is die feature nogal slecht gedocumenteerd, ik kan er tenminste weinig/niks over vinden in hun manuals.