Netwerk redundancy vraagje

[Sh1fty88]

Beste Tweakers,

Ten eerste wil ik mij verontschuldigen als ik niet de juiste termen heb gebruikt.
Ik heb dan ook (helaas) weinig ervaring met netwerken.

We hebben in ons rack een enkele binnenkomende internet verbinding.
Deze verbinding wordt door een Core Switch gesplitst naar 2 Cisco ASA's.

De ASA's staan in een automatische failover opstelling (Primair en Secundair).

Op ASA1 zit Switch 1 aangesloten en op ASA2 zit Switch2 aangesloten.
Switch 1 en Switch 2 zitten onderling ook weer verbonden met een enkele UTP kabel.

De achterliggende servers zijn met 4 UTP kabels aangesloten (2 op Switch 1 en 2 op Switch 2).
Nu was het idee dat dit op de Core switch na volledig redundant zou zijn. 2 ASA's, 2 Switches etc etc.

Nu is gebleken:
Wanneer Switch 2 uitvalt is er niets aan de hand qua verbindingen. Maar wanneer switch 1 uitvalt is zijn alle achterliggende servers niet meer bereikbaar.

Na wat logisch nadenken klopt dit ook. Switch 2 zit immers niet op de primaire ASA aangesloten en zolang de primaire ASA gewoon werkt wordt de secundaire niet ingeschakeld.

Mijn vraag aan jullie is nu, kan ik zonder verdere wijzigingen Switch 1 op ASA2 aansluiten en Switch 2 op ASA1? Creëer ik niet een of andere loop?

Tekening van huidige en 'mogelijk' nieuwe situatie (hoop dat dit duidelijk is)

Let op: Nieuwe situatie in de afbeelding is hoe ik het aan WIL sluiten. niet hoe het nu aangesloten is.
aangezien dit een verbinding is waar ik niet zomaar op kan testen wil ik graag advies of het uberhaubt mogelijk is wat ik in de nieuwe situatie getekend heb.


Bij voorbaat dank voor jullie input!

[ Voor 9% gewijzigd door Sh1fty88 op 08-04-2015 16:21 ]

[TrailBlazer]

er is geen automagische failover tussen dier ASA's ? normaal zou je willen dat ze failoveren als op een van de twee een interface plat gaat. Je hebt dan wel een directe hearthbeat nodig tussen de twee asa's

[Sh1fty88]

TrailBlazer schreef op woensdag 08 april 2015 @ 12:46:
er is geen automagische failover tussen dier ASA's ? normaal zou je willen dat ze failoveren als op een van de twee een interface plat gaat. Je hebt dan wel een directe hearthbeat nodig tussen de twee asa's

Er zit wel een automatische failover op de ASA's. Dus in die zin wel redundant. Load balancing zit er niet op. Heb het aangepast in het eerste bericht.

[ Voor 4% gewijzigd door Sh1fty88 op 08-04-2015 15:37 ]

[Eboman]

zit er wel teaming op die server poorten, dus weten de achterliggende servers wel dat ze de poort naar switch 2 moeten gebruiken als 1 uitvalt ? En dus wat hierboven gezegd wordt is er een heartbeat tussen de 2 asa's met een floating ip danwel mac ?

[Sh1fty88]

Eboman schreef op woensdag 08 april 2015 @ 15:41:
zit er wel teaming op die server poorten, dus weten de achterliggende servers wel dat ze de poort naar switch 2 moeten gebruiken als 1 uitvalt ? En dus wat hierboven gezegd wordt is er een heartbeat tussen de 2 asa's met een floating ip danwel mac ?

Alle 4 de poorten van de server zitten in 1 team. Er zit een heartbeat tussen de ASA's.
De redundancy van de ASA is getest en werkt wel goed. Bij uitval van ASA1 neemt ASA2 vlekkeloos de zaken over.

Het probleem ligt bij ons in Switch1 (zie tekening). Switch 2 blijft dan over en zit alleen op ASA2.
Echter is bij uitval van Switch1, ASA1 nog gewoon online maar zit niet aangesloten op Switch2.

Kan ik zonder problemen de switches op beide ASA's aansluiten?

[Eboman]

dan is mijn conclusie dat ASA1 dus niet merkt dat switch 1 uitvalt, of die kant van asa (binnenkant) is niet geconfigureerd voor fail-over ? extra kabels trekken zie ik als overbodig en extra complexiteit.

Kun je bevestigen dat servers netjes een failover doen naar de andere switch (je ziet dus het teaming-mac op de andere switch verschijnen ? Datzelfde zou dus moeten gebeuren met je ASA, danwel het mac danwel een actief ip adres wat switched, afhankelijke of je laag2 of laag3 failover hebt.

[Garyu]

Eboman schreef op woensdag 08 april 2015 @ 16:30:
dan is mijn conclusie dat ASA1 dus niet merkt dat switch 1 uitvalt, of die kant van asa (binnenkant) is niet geconfigureerd voor fail-over ? extra kabels trekken zie ik als overbodig en extra complexiteit.

Kun je bevestigen dat servers netjes een failover doen naar de andere switch (je ziet dus het teaming-mac op de andere switch verschijnen ? Datzelfde zou dus moeten gebeuren met je ASA, danwel het mac danwel een actief ip adres wat switched, afhankelijke of je laag2 of laag3 failover hebt.

Bijna, in het ideale geval kan je met slechts een paar extra kabels ervoor zorgen dat er een switch EN een ASA uit kunnen vallen zonder dat je services onbereikbaar worden.

[Eboman]

Garyu schreef op woensdag 08 april 2015 @ 16:33:
[...]

Bijna, in het ideale geval kan je met slechts een paar extra kabels ervoor zorgen dat er een switch EN een ASA uit kunnen vallen zonder dat je services onbereikbaar worden.

in het huidige ontwerp kan dat ook wel, als er beide kanten van de ASA een fail-over geconfigureerd is.
in het nieuwe ontwerp voorkom je een failover naar ASA2 als SW1 uitvalt. Indien je beide poorten gaat monitoren voor de failover.

Zo wie zo lijkt me iets meer info van TS handig, wat heb je getest en welke conclusies trek je daaruit.

Staat je routing ook goed en zijn de asa de GW voor de servers of zijn ze dual-homed ?

[ Voor 15% gewijzigd door Eboman op 08-04-2015 16:53 ]

[Sh1fty88]

Eboman schreef op woensdag 08 april 2015 @ 16:30:
dan is mijn conclusie dat ASA1 dus niet merkt dat switch 1 uitvalt, of die kant van asa (binnenkant) is niet geconfigureerd voor fail-over ? extra kabels trekken zie ik als overbodig en extra complexiteit.

Kun je bevestigen dat servers netjes een failover doen naar de andere switch (je ziet dus het teaming-mac op de andere switch verschijnen ? Datzelfde zou dus moeten gebeuren met je ASA, danwel het mac danwel een actief ip adres wat switched, afhankelijke of je laag2 of laag3 failover hebt.

De ASA merkt inderdaad niet als er een switch uitvalt. dit is niet geconfigureerd.
De servers blijven intern wel bereikbaar wanneer een switch uitvalt of dit nu 1 of 2 is.

Wat je dus eigenlijk voorstelt: Stel ook een failover in op de ASA, op het poortje waarop de switch zit.
valt deze heartbeat weg (uitval switch 1) = failover naar ASA2?

[Sh1fty88]

Eboman schreef op woensdag 08 april 2015 @ 16:51:
[...]


in het huidige ontwerp kan dat ook wel, als er beide kanten van de ASA een fail-over geconfigureerd is.
in het nieuwe ontwerp voorkom je een failover naar ASA2 als SW1 uitvalt. Indien je beide poorten gaat monitoren voor de failover.

Zo wie zo lijkt me iets meer info van TS handig, wat heb je getest en welke conclusies trek je daaruit.

Staat je routing ook goed en zijn de asa de GW voor de servers of zijn ze dual-homed ?

Zoals aangegeven kan ik niet veel testen, door uitval van switch 1 zijn we achter dit probleem gekomen.
Maar ik kan helaas niet zomaar wat zaken gaan testen. en de simpelste oplossing leek mij 2 kabels erbij prikken en klaar.

De ASA is ingesteld als Gateway inderdaad.

[TrailBlazer]

Volgens mij kan je gewoon instellen dat die asa moet failoveren als zijn link naar de switch faalt.

[Eboman]

Unslaught schreef op woensdag 08 april 2015 @ 16:54:
[...]


De ASA merkt inderdaad niet als er een switch uitvalt. dit is niet geconfigureerd.
De servers blijven intern wel bereikbaar wanneer een switch uitvalt of dit nu 1 of 2 is.

Wat je dus eigenlijk voorstelt: Stel ook een failover in op de ASA, op het poortje waarop de switch zit.
valt deze heartbeat weg (uitval switch 1) = failover naar ASA2?

Idd kijk of dit nu aan staat (zou wel moeten met dit design), zo niet dan moet het aan en lees de documentatie van Cisco hierover goed door.
Daarna lijkt me dit gaan testen op een tijdstip waarop deze dienst niet beschikbaar hoeft te zijn, beter geplanned down dan een keer onverwacht (lees 's nachts de SW1 defect).

Dat zal de enige manier zijn om te bevestigen dat je het ook opgelost hebt.

[Sh1fty88]

Bedankt voor jullie input! Ik ga even een periode inplannen om dit te testen.

Zal naar alle waarschijnlijkheid aankomend weekend zijn. ik houd jullie op de hoogte!

[Sh1fty88]

Er is een Heartbeat naar de switch ingesteld vanuit de ASA. Failover gebeurd nu wanneer een ASA of switch uitvalt.

Bedankt voor jullie hulp!