MPLS - HSRP en RSTP at remote sites

[Verwijderd]

Hallo,

Wij hebben een MPLS netwerk met een 60 tal remote sites (90% citrix).

In een remote site hebben we 2 routers (eentje VDSL en eentje mobiel - 3G) en 2 switches.

In een remote site is er nagenoeg geen traffiek tussen de clients onderling en bedoeling is om de setup zo redundant / efficent mogelijk op te zetten.

Dit is een idee / concept qua bekabeling

WAN
/ \
router 1 (vdsl) router 2 (3G)
| \ / |
switch 1 _ switch 2
| |
client 1, 3, ... client 2, 4, ...


Met andere woorden:
Switch 1 heeft uplink naar router 1 en router 2
switch 2 heeft idem een uplink naar router 1 en router 2

Router 1 (main) en router 2 (backup) bepalen via HSRP wie de actieve router is en monitoren elkaar


Mijn vragen:
- is het beter om switch 1 en switch 2 onderling met elkaar te verbinden of niet (feit is dat er weinig traffiek is tussen de clients)
- wat met spanning tree als er een link gelegd wordt tussen switch 1 en switch 2? Want als ik fysieke link maak, dan maak ik een loop en moet spanning tree dit opvangen denk ik?
=> zonder de link tussen switch 1 en 2 heb ik eigenlijk ook al een loop (client 2 kan rechtstreeks naar router 1 via switch 2, maar kan dit eigenlijk ook via switch 2 > router 2 > switch 1 > router 1)

Ik hoef geen configuratie te verkrijgen, met enkele tips / best practices kan ik al een stuk verder.
Ik heb al zitten zoeken op internet, maar meestal is er 1 client switch en 2 routers ipv 2 client switches en 2 routers...

bedankt voor de feedback!

[jvanhambelgium]

Allemaal in mooi 1 "flat" VLAN ?
Dan zal het doorverbinding van SW1 en SW2 met 1 kabeltje gewoon het broadcast domein groter maken.

Maar dus in essentie is elke client slechts voorzien van 1 NIC maar doet gewoon verdeling van oneven clients op SW1 en even clients op SW2 ?

Met HSRP heb je inderdaad mooi de LAN gateway "always on" gemaakt, maar enkel indien je clients op de 2 switches (tegelijk) gaat aansluiten met dan de NIC's in active/standby heb nog beter beschikbaarheid.

[ Voor 19% gewijzigd door jvanhambelgium op 30-12-2015 16:19 ]

[winux]

Ik denk dat je al een heel eind op goede weg ben. Paar kleine tips:

Getuige het feit dat je voor HSRP kiest neem ik aan dat je Cisco routers gebruikt?
Wanneer dit niet het geval is, kan je ervoor kiezen op de open standaard VRRP te gebruiken.

Met HSRP/VRRP kun je inderdaad aangeven welke de active en backup gateway is. Let er wel op dat je ook "preempt" instel. Wanneer the main router uitvalt en er een overschakeling plaatst vindt, deze ook
terug schakelt wanneer de main router weer beschikbaar is. Anders blijft je backup gateway de primary gateway en in geval van 4G netwerk, kan dat je op kosten jagen.

Wanneer je geen gebruik maak van vlan's op de locatie, zal het geen probleem geven, verkeer wat van switch 1 naar swtich 2 moet zal dan via de router gaan omdat het 1 netwerk is.

[jvanhambelgium]

De 2 poorten van elke router zitten telkens samen in 1 VLAN/bridge-group of zoiets ?

[Paul]

Verwijderd schreef op woensdag 30 december 2015 @ 15:27:
zonder de link tussen switch 1 en 2 heb ik eigenlijk ook al een loop (client 2 kan rechtstreeks naar router 1 via switch 2, maar kan dit eigenlijk ook via switch 2 > router 2 > switch 1 > router 1)

Voila

Dus, welke lijn wil je (met STP zo te lezen? Je hebt het over MPLS, maar dat (+SPB) is hier dus niet van toepassing?) blocking hebben, en wat moet er gebeuren om die in forwarding te krijgen? Is dat ook hetgeen waartegen je probeert te beschermen?

Dit is overigens afhankelijk van de instellingen op de router lijkt me. Zijn het poorten op een switch of zijn het afzonderlijke interfaces van je router?

Je clients hebben maar één aansluiting, als er een switch stuk gaat dan heeft de helft van je clients dus sowieso pech. Over hoeveel clients hebben we het eigenlijk? Als je het niet met één switch af kunt zou ik gaan stacken. Om te beschermen tegen uitval van de switch waar je router op zit is een port channel (of trunk, of aggregated link, afhankelijk van het merk ) het mooiste, maar dan moeten de routers dat wel ondersteunen.

Andere optie (als je niet kunt stacken of de routers geen port channels aan kunnen) is beide routers enkelvoudig aansluiten maar op verschillende switches, keep-alive over diezelfde kabels / switches en als ze elkaar niet meer kunnen zien mogen ze beiden actief worden. Ja, dat is een "split brain", maar in dit geval lijkt me dat geen probleem, want als poort 1 op switch 1 niet bij een device op poort x van switch 2 kan dan is de kans groot dat de andere 23 of 47 poorten van die switch dat ook niet kunnen

In dat laatse scenario maak je een ring van alle switches en zet je één van de 'ring'-links op blocking (zodat jij de controle hebt), valt er een switch uit dan gaat hij als het goed is weer forwarden. Wil je dat niet dan zet je de ene router op de eerste switch en de andere router op de laatste switch in de keten, als er dan een switch tussenuit valt dan gaat een deel van je clients over router 1 en een deel over router 2.

Dit gaat er vanuit dat je wel één WAN tekent, maar dat het beiden een afzonderlijke internetlijn met afzonderlijke IP-adressen betreft? Of heb je een internetleverancier die zowel over VDSL als 3G dezelfde verbinding levert?

[Verwijderd]

Hallo,

routers zijn idd Cisco, maar zijn in beheer van de MPLS provider.
Qua Vlan zit alles in default untagged vlan 1.

Met de verdeling van de clients vangen we idd het uitvallen van een switch op (zodat de site toch nog op halve kracht verder kan). Qua clients per site spreken we over max 5.
Momenteel is :
1) STP disabled:
***HP-2530-24# sh spanning-tree
*** Multiple Spanning Tree (MST) Information
*** STP Enabled : No
2) geen fysische link tussen beide switches

dus ik veronderstel dat:
- STP geregeld wordt door de switch op de router en dat dit eigenlijk de root bridge is voor het lokale netwerk

mij lijkt het beter om een link tussen de 2 switches te leggen (zodat het weinige lokale verkeer binnen de switch blijft ipv over de router) en STP te configureren en switch 1 als root bridge te configureren.
=> ik wil weten als dit inderdaad beter is, en hoe ik dit deftig kan argumenteren...

bedankt!

[Paul]

Lees ik dat goed, wel _vijf_ hele gebruikers? Dat lukt mogelijk zelfs helemaal zonder switches: Als beide routers 4 poorten hebben dan kun je dus al 5 clients en een printer aansluiten (de overige 2 poorten gebruik je om de routers op elkaar aan te sluiten).

Als dat toch niet voldoende is dan zeg ik, pak een 2e switch, configureer die af en leg die op de plank als reserve. Die paar kabeltjes zijn zo overgeprikt (ook door een leek, vooral als het toch allemaal in hetzelfde VLAN zit) als het mis gaat, al het andere verdien je nooit terug in je hogere uptime Zo vaak gaan switches nu ook weer niet stuk...

[winux]

Wat Paul zegt inderdaad, als je 5 gebruikers heb, 1 switch, tweede op plank geconfigureerd en klaar. Is ook goedkoper qua energie verbruik. Bijkomend voordeel als je maar 1 switch gebruik, heb je ook geen last van loop, die je dan weer niet met spanning tree hoef op te vangen (ervan uitgaande dat je geen link tussen je routers heb)

Maar ga je geen probleem krijgen met HSRP instellingen, als je geen beheer over je routers heb? Of laat je dit door de beheerder instellen?

[knutsel smurf]

Volledig eens met het op de plank leggen van een switch.

Als je het toch met 2 switches wilt oplossen kijk eens naar een switch die werkt met virtual chassis technieken speelt je een hele hoop configureren. Onderandere juniper en Alcatel-Lucent hebben deze.

[Verwijderd]

Hallo,

Eerst en vooral bedankt voor de feedback, het is altijd interessant om de discussiëren, dan kan het concept alleen maar 'rijpen'!

HSRP is in beheer van de MPLS provider, ik moet dus enkel zorgen dat beide routers met elkaar kunnen communiceren via de switch.

Ik snap jullie redenering van een 2e switch op de plank leggen, maar dit is nou net iets wat we niet willen doen.
Het is de bedoeling om de config van de switches te gaan uitbreiden in de toekomst, en een switch die op de plank ligt is moeilijk remote up te daten.
Daarbij zou een leek dit idd moeten kunnen verpatchen, maar eigenlijk is dit een taak waar we hen niet mee willen opzadelen.
En als derde argument (vanuit een standpunt om SPOF's zoveel mogelijk te vermijden) is het volgens mij wel een goeie zaak om 2 switches te plaatsen. Het zou jammer zijn dat we een site uitrusten met 2 routers, maar dat gans de site plat ligt omdat de switch gecrashed is.

Qua aantal connecties zijn er idd 5 users, maar we zitten wel ongeveer aan 20 devices per site (printer, thin client, scanner, randapparatuur, ...)

Er dus vanuitgaande dat we 2 switches actief willen plaatsen, blijf ik dus met dezelfde vragen zitten, namelijk:
- leg ik best een interconnect tussen beide switches of niet
- moet ik spanning tree configureren en zo ja, hoe zet ik dit best op (in grote lijnen)

bedankt alvast voor jullie feedback!

Gijs.

[Equator]

Als je beide switches actief wilt gebruiken, en dus op beide componenten aan wilt sluiten en je wilt beide routers over de twee switches aansluiten dan moet je wel gebruik maken van een laag 2 koppeling/interconnect.



STP hoeft alleen als je een Laag 2 vierkant hebt, en dat is zo niet het geval. Tenzij je VLAN's over je WAN verbinding wilt stretchen, maar dat heb ik nergens gelezen.

Overigens zie ik in je ascii plaatje dat je de routers ook redundant aan wilt sluiten, dan kom het er zo uit te zien:



de betere variant is:

[ Voor 26% gewijzigd door Equator op 05-01-2016 15:18 ]

[Verwijderd]

Hallo,

klopt, vlans stretchen is niet de bedoeling.
Wat wel de bedoeling is, is om de routers dubbel te uplinken. (op je tekening eigenlijk nog een 2 diagonalen toevoegen
Switch 1 dus aansluiten op router 1 en router 2
switch 2 aansluiten op router 1 en router 2
switch 1 linken met switch 2 rechtstreeks

Voordeel is dat een uitval van een switch niet betekent dat je moet overschakelen naar de andere router

In dit geval heb ik wel STP nodig denk ik dan?

[Verwijderd]

ok, dit is inderdaad de setup die ik voor ogen heb. Bedankt!

Met die cirkels wil je waarschijnlijk bedoelen om lacp te configureren zodat je een etherchannel maakt?

En wat is het voordeel om een dubbele connectie (in een etherchannel weliswaar) tussen beide switches te leggen?

[Equator]

Ja, daarmee geef ik een Etherchannel aan. Voordeel, simpliciteit in HSRP, maar op zich maakt het niet zoveel uit.

[Paul]

Voor dat onderste plaatje moet je (AFAIK) een VSS, vPC, SMLT of stack-opstelling maken (of een andere technologie die dat kan), anders kun je geen portchannel maken over twee switches.

Bij HP heten die dingen blijkbaar een MLAG en zijn die dingen niet mogelijk met een 2530 (bron, die 2530 noem je hier).

[Equator]

Paul schreef op dinsdag 05 januari 2016 @ 15:45:
Voor dat onderste plaatje moet je (AFAIK) een VSS, vPC, SMLT of stack-opstelling maken (of een andere technologie die dat kan), anders kun je geen portchannel maken over twee switches.

klopt helemaal..

Bij HP heten die dingen blijkbaar een MLAG en zijn die dingen niet mogelijk met een 2530 (bron, die 2530 noem je hier).

Bij HP heet dat een IRF. Vanaf mobiel niet direct inzicht of dit wordt ondersteund..

Edit:

Verwijderd schreef op dinsdag 05 januari 2016 @ 15:25:
ok, dit is inderdaad de setup die ik voor ogen heb. Bedankt!

Geen dank, ik wil alleen nog wel melden dat het een erg dure opstelling is voor een access switch setup met maar 5 gebruikers. Ik denk dat als je de kosten en baten tegen elkaar af gaat wegen, de meerwaarde van een dergelijk redundante setup niet opweegt tegen de kosten.
Daarintegen weet ik niets over je werkzaamheden en wat onbeschikbaarheid het bedrijf kost, dus kan het zomaar zijn dat mijn opmerking niet relevant is

[ Voor 29% gewijzigd door Equator op 06-01-2016 09:48 ]

[Verwijderd]

Hallo,

voor zover ik terug kan vinden wordt IRF niet ondersteund op HP 2530 switches (wat ik ergens wel kan snappen gezien dit toch eerder een basis model is).

Een stack (of een variant hierop) maken van de 2 switches zal dus niet lukken.

De connectie tussen de switches en de routers zijn overigens ook L2 hoor. Bedoeling is dat alle layer 3 functionaliteit op de router bij de MPLS provider zit.

=> Conclusie is dus die ik effectief best spanning tree configureer en een verbinding maak tussen beide switches?

@ Equator : ik snap je reactie. Feit is wel dat we zoiezo 2 routers (laten) plaatsen om een betere SLA te verkrijgen op het MPLS netwerk. Daarnaast zitten we geografisch redelijk verspreid wat het niet zo evident maakt om een switch te gaan vervangen. En als ik dan moet kiezen tussen 1 switch actief gebruiken met een reserve op de plank of 2 switches actief gebruiken => dan kies ik toch om beide switches actief te gebruiken. Qua kostprijs is dit (behalve het gebruik) hetzelfde. Setup is complexer, maar als dit goed in elkaar zit hoeft dit maar éénmalig opgezet te worden en tegelijk geniet ik van het voordeel dat er niks moet gebeuren om een minimum dienstverlening te garanderen bij uitval router / switch(SPOFs zijn weggewerkt).
En qua kostprijs vallen die HP 2530 switches heel goed mee, het is tenslotte een entry model.

[Paul]

Verwijderd schreef op woensdag 06 januari 2016 @ 10:50:
=> Conclusie is dus die ik effectief best spanning tree configureer en een verbinding maak tussen beide switches?

Teken het eens uit En dan zonder de client computers, enkel de twee switches en de twee routers.

Welke routers zijn het? Je geeft aan dat het een L2 koppeling betreft, bedoel je daarmee dat beide poorten op de router onderdeel zijn van een switch die zich in de router bevindt? Want dan heb je dus zonder link tussen de 2 HP-switches al een vierkant en dus een loop Maak je een link tussen beide switches dan heb je een vierkant en twee driehoeken, en zul je dus met STP moeten zorgen dat er twee van de vijf lijnen in blocking gaan.

Ga dan verzinnen welke lijnen je in normaal gebruik wilt gebruiken, choose 3:
- HSRP preferred node naar switch 1?
- HSRP preferred node naar switch 2?
- HSRP backup naar switch 1?
- HSRP backup naar switch 2?
- switch 1 naar switch 2?

Je wil niet beide lijnen naar één router blocken want dan is die router niet meer te benaderen, dus dan moet je kiezen of je van beide routers één lijn blockt, of één lijn van de backup-router en de link tussen de switches.

Kies je voor die laatste dan kun je die link het beste helemaal weghalen, want dan is er letterlijk maar één scenario waarin hij gebruikt en in dat scenario kun je ook de lijn naar de backup-router gebruiken. In dat scenario is de backup-router meteen ook de actieve.

Ik weet niet hoe je printers, scanners en randapparatuur communiceren (via de thin client of rechtstreeks met het hoofdkantoor) maar ik verwacht dat het meeste verkeer (bij gebruik aan fat clients, servers of NAS-apparatuur op locatie) over het internet gaat, dus ik zeg: Geen link tussen de switches.

Komt er zoveel verkeer onderling dat je de link naar de router af en toe in verzadigd wordt dan kijk je eerst of je die grootverbruikers op één switch kunt concentreren en als dat niet afdoende (of wenselijk is) leg je een LAG tussen beide switches en configureer je van beide routers één link in blocking.