Redundante netwerk setup

[Verwijderd]

Hi

Ik ben momenteel bezig met het uitwerken van een netwerksetup, die er als volgt uitziet:


Als firewalls heb ik 2 Fortigates 90-d staan die in HA staan (active/passive) met een link zijn verbonden om een heartbeat te sturen. Als switchen heb ik gekozen voor SG300's van Cisco.

Van elke fortigate gaat er een uplink naar elke switch om te verhinderen dat er bij een uitval van een switch een downtime zal voorvallen. Nu zit ik met een probleem dat er bij een reboot van een switch precies een loop zit. De enige manier om het op te lossen is de switchen allemaal even te herstarten.

Nu is dit niet redundant en ben ik op zoek naar enkele tips.

Dit is de uplink config van de switches:

De uplinks zijn geconfigureerd in een port-channel:

code:

interface Port-channel1
 description Uplink
 switchport trunk allowed vlan add 100,200 
!

De uplinks van de fortigates, zijn als volgt geconfigureerd.

code:

interface gigabitethernet9
 spanning-tree portfast 
FGT1
 switchport trunk allowed vlan add 100,200 
!
interface gigabitethernet22
 spanning-tree portfast 
FGT2
 switchport trunk allowed vlan add 100,200 
!

Steek ik dan best de uplinks van de fortigates ook in een portgroup en zet ik daar spanning-tree op?

Of wat zouden jullie aanraden?

[CyBeR]

spanning-tree portfast 

Al bedacht om portfast uit te zetten?

[Verwijderd]

Ik heb portfast nog niet uitgezet, maar ik kan het zeker eens proberen.
Ik had het opgezet omdat het soms heel lang kon duren voor die poorten online kwamen.

Volstaat het weghalen van die optie of moet er nog een portchannel worden opgezet?

Ik hou jullie op de hoogte.

[ Voor 18% gewijzigd door Verwijderd op 23-04-2015 00:31 ]

[CyBeR]

Verwijderd schreef op donderdag 23 april 2015 @ 00:21:
Ik had het opgezet omdat het soms heel lang kon duren voor die poorten online kwamen.

Ja, en gedurende die tijd is 'ie aan 't testen of er loops zijn

[Joshuax8]

Vergeet ook niet RSTP ipv STP overal te configureren, scheelt ook weer.

[Miepermans]

Gewoon als tip, in je plaatje mist nog een kritieke laag tbv redundantie. Aan de bovenkant van de firewalls wil je graag ook een redundante stack switches gebruiken.

Als je dat namelijk doet, maakt het niet uit als er 1 van de 6 componenten wegvalt, en zal er altijd een pad zijn.

By the way, deze setup werkt alleen feilloos als er op iedere "laag" gebruik word gemaakt van stackable switches. Deze switches dienen dan LACP uplinks naar de firewalls te hebben. ( Statische trunks mag ook, maar dan moet je echt portfast draaien en BPDU filtering naar je firewalls kan nooit kwaad. )

Mijn vermoeden is ook dat je geen stp domain hebt ingericht met een duidelijke root bridge. Dit is iets wat je ook aan zal willen pakken.

[ Voor 44% gewijzigd door Miepermans op 23-04-2015 09:38 ]

[Verwijderd]

Hi

Ik ben nog vergeten meegeven dat de WAN connectiviteit bij de leverancier ontdubbelt is.
Elke uplink komt van een andere switch.

De huidige switchen zijn jammergenoeg niet stackable, lukt het dan met gewone links met daarop lacp icm stp?

[Miepermans]

Niet helemaal, Je wilt eigenlijk vanaf de Fortinets 2 trunks maken welke allebei een pootje boven en onder op beide gestackte switches heeft, Alleen dan kun je het "kruis" realiseren.

[Powermage]

Volgens mij ondersteund de fortigate pas vanaf de 100 serie lacp/trunking etc?

[CyBeR]

Wat heb je aan een trunk in deze? Je wilt link aggregation.

[Eewokney]

Ik weet niet hoe het bij jou specifieke model switch werkt maar ik zie dat je trunk allowed statements hebt zonder een "switchport mode trunk"
Als je echt trunking wilt gebruiken omdat je meerdere vlans in je lan gebruikt kan je hem beter static op trunk mode zitten ipv hopen dat de negotiation goed gaat.

[ik222]

Je kunt eventueel ook de failover aan de fortigates overlaten. Dan sluit je fortigate 1 dus alleen aan op switch 1 en fortigate 2 alleen op switch 2. Vervolgens kun je de fortigate zo configureren dat deze een failover doet op het moment dat de link naar de switch op een van beide down gaat.

[Dafjedavid]

Wij hebben op de zaak een soortgelijke setup draaien, maar dan op basis van Layer 3.
Voorkomt in ieder geval loops, want je hebt geen last van Layer-2 geneuzel. Je eventuele DMZ's kun je dan met een separate link naar je cores ontsluiten en routeer je puur verkeer van en naar internet. Moet er wel bij zeggen dat er boven ons firewall cluster nog twee separate internet-routers staan in redundante setup, dus daar verschilt de setup iets in.

[Verwijderd]

In ons scenario werkt de fortigate ook L3 device.
Ik heb net nog wat research gedaan en het blijkt inderdaard dat lacp niet beschikbaar is voor de 90d.

In principe moeten we geen trunking hebben voor de fortigates, het idee erachter is puur om het "kruis" te realiseren.

Even een kleine update:

De switchen gebruiken default RSTP, dus dat is al een goede.
Met betrekking tot de uplink poorten van de fortigate heb ik de portfast uitgezet, dit gaf direct het gewenste resultaat, maar ik heb op de Fortigate routed interfaces gemaakt ipv gebruik te maken van een hardware switch.
Door gebruik te maken van de routed interface, kan de fortigate ook portmonitoring uitvoeren.

Hierdoor moet ik het kruis niet maken en zal de fortigate een failover doen als er een switch zou uitvallen.

Bedankt voor de hulp

[ Voor 49% gewijzigd door Verwijderd op 26-04-2015 23:31 ]