Cisco Catalyst 2960XR security End of security updates?

[Flyduck]

Ik heb een aantal Catalyst 2960XR switches hangen, als ik zoek op 2960XR end of life dan kom ik op deze pagina https://www.cisco.com/c/e...ol-notice-c51-738124.html

Nu staat daar End of Vulnerability/Security Support:OS SW date 1 May 2019.
Ok, maar er staat ook dat het specifiek gaat over IOS versie 15.2(2)E

Ik zoek door en de meest recente gegevens die ik kan vinden gaat over IOS versie 15.2(6)Ex
https://www.cisco.com/c/e...ol-notice-c51-742520.html
Op deze pagina staat End of Vulnerability/Security updates op 17 March 2020 en end-of-sale in 2017.

Echter ik heb 15.2(7) IOS erop gezet, maar daar kan ik geen End of support dates over vinden (alleen release notes). Ook staan deze switches nog gewoon te koop op de Cisco site. Volgens de externe auditor moeten we nu nieuwe switches kopen aangezien er geen security updates meer voor uitkomen.... ? Terwijl ze gewoon nog te koop staan? https://www.cisco.com/c/e...eries-switches/index.html

[Satch]

Volgens mij heb jij gewoon gelijk. De 15.2(7) software train is nog vrij recent. 15.2(7)E2 is zelfs nog maar 2 maanden oud en dit is een Early Development release. Ze zijn nog gewoon aan het developen dus. En idd als er geen end of life is aangekondigd dan is het nog gewoon in support. Misschien kan je de externe auditor tevreden houden door aan te geven dat je de Software Checker van Cisco in de gaten houdt.
Linkje: https://tools.cisco.com/security/center/softwarechecker.x

Daar kan je je software versie invullen en zien welke vulnerabilities er op van toepassing zijn. Voor jouw train zijn er momenteel geen advisories, dus dat scheelt.

[ Voor 6% gewijzigd door Satch op 26-05-2020 21:33 ]

[Bl@ckbird]

Flyduck schreef op dinsdag 26 mei 2020 @ 21:19:
Ik heb een aantal Catalyst 2960XR switches hangen, als ik zoek op 2960XR end of life dan kom ik op deze pagina https://www.cisco.com/c/e...ol-notice-c51-738124.html

Nu staat daar End of Vulnerability/Security Support:OS SW date 1 May 2019.
[..]

Ik zie nog geen EoS/EoL voor de 2960X, 2960XR of 3650.

Generatiegenoot 3850 is wel EoS gegaan.

Als je bij de EoS van de 3850 gaat kijken, zie je dat 31 Okt 2019 de EoS pagina online is gekomen. Een jaar later is hij niet meer te koop. ( Misschien oude voorraden, maar niet direct via Cisco.) Software features worden t/m 30 Okt 2021 ontwikkeld en security patches t/m 30 Okt. 2023.

5 jaar na de EoS is de End-of-Life en levert TAC geen hardware replacement bij hardware issues.

De 2960XR heeft nog geen EoS/EoL pagina online staan, dus je hebt nog wel even te gaan. ( 2 jaar voor feature updates en 4 jaar voor security patches als vandaag de EoS/EoL pagina voor de 2960XR zou verschijnen.)

Opvolger van de 2960X / 2960XR is de 9200 / 9200L. Cisco heeft er een handje van om oude hardware (zoals de 2960XR) duurder te maken t.o.v. de nieuwe hardware, ( De 9200 / 9200L) zodat mensen migreren.


Zolang de 2960X / 2960XR verkoopt zullen ze hem niet EoS verklaren, maar weet dat hij aan z'n eind van z'n lifecycle zit. In een nieuwe situatie zou ik naar de 9200 / 9200L kijken. Als je een bestaande stack wil uitbreiden met extra 2960XR switches, dan is daar nu het moment voor. Als de 2960XR EoS is gegaan is dat lastiger. Misschien via refresh / refurb, maar dat is afhankelijk van voorraden.

[jvanhambelgium]

Bl@ckbird schreef op woensdag 27 mei 2020 @ 12:53:
[...]
Opvolger van de 2960X / 2960XR is de 9200 / 9200L. Cisco heeft er een handje van om oude hardware (zoals de 2960XR) duurder te maken t.o.v. de nieuwe hardware, ( De 9200 / 9200L) zodat mensen migreren.

Zolang de 2960X / 2960XR verkoopt zullen ze hem niet EoS verklaren, maar weet dat hij aan z'n eind van z'n lifecycle zit. In een nieuwe situatie zou ik naar de 9200 / 9200L kijken. Als je een bestaande stack wil uitbreiden met extra 2960XR switches, dan is daar nu het moment voor. Als de 2960XR EoS is gegaan is dat lastiger. Misschien via refresh / refurb, maar dat is afhankelijk van voorraden.

Weet dat je vanaf de 9200 nu ook met een exta licentie-model zit die je de eerste 3 jaar sowieso gaat moeten betalen. Da's het DNA-gedoe. Je zal hier ook een "Essentials" (=route acces,L2) of "Advantage" (full L3 features,STACKING [dacht ik]) moeten gaan kiezen.

Als je hele verhaal rond DNA/SDAccess niet gebruikt en je wil gewoon een switch die je op CLI wilt configgen kan je opeteren na 3jaar geen renew van de licentie te doen. Maar je hebt dus wel 3 jaar licenties moeten betalen.Geen kost wat dan de TCO is van 2960XR <> 9200 als je alles meeneemt.

Ben zelf met een DNA/SDAccess project bezig en ik kan zeggen dat er nog véél werk is in oa de "Assurance" hoek...what a piece of ....

[Bl@ckbird]

jvanhambelgium schreef op zondag 31 mei 2020 @ 08:26:
[...]


Weet dat je vanaf de 9200 nu ook met een exta licentie-model zit die je de eerste 3 jaar sowieso gaat moeten betalen. Da's het DNA-gedoe. Je zal hier ook een "Essentials" (=route acces,L2) of "Advantage" (full L3 features,STACKING [dacht ik]) moeten gaan kiezen.

Als je hele verhaal rond DNA/SDAccess niet gebruikt en je wil gewoon een switch die je op CLI wilt configgen kan je opeteren na 3jaar geen renew van de licentie te doen. Maar je hebt dus wel 3 jaar licenties moeten betalen.Geen kost wat dan de TCO is van 2960XR <> 9200 als je alles meeneemt.

Alle nieuwe hardware waar Cisco mee komt zal DNA licenties bevatten. (Switching, Wireless, Datacenter switching, Security, etc.)

Zie:
https://www.cisco.com/c/m...sub-matrix-switching.html

Network Essentials is éénmalige aanschaf en is onderdeel van de DNA Essentals licentie. (3, 5 of 7 jaar)
Network Essentials feature set verloopt niet.

DNA Essentials (de lichtblauwe kolom) is een licentie (3, 5 of 7 jaar) en verloopt na deze periode.
Idem voor DNA Advantage / Network Advantage.

De 2960XR heeft IP Lite. Een 9200L met DNA Essentials heeft dezelfde feature set. ( L3 Routed access, etc.)

• Een WS-C2960X-24PS-L is 3.355 Dollar List.
• Een WS-C2960XR-24PS-I is 5.350 Dollar List.
• Een C9200L-24P-4G-E met 3 jaar DNA Essentials is 3,355 Dollar List.

Voor hetzelfde geld heb je dus de feature set van een WS-C2960XR-24PS-I voor de prijs van een WS-C2960X-24PS-L.

Fysiek stacken (met kabels of stacking modules) zit in de Essentials licentie. Voor StackWise Virtual heb je wel een DNA Advantage licentie nodig. Maar dat is alleen van toepassing op de Catalyst 9500.

Als je vroeger IOS updates wilde downloaden, dan had je daar een Smartnet support contract voor nodig.
( Meestal werd er een image gedownload die dan op 100 andere switches werd gedeployed, maar dan ben je in principe gewoon illegaal bezig.)

Software downloads zitten ook in de DNA licentie. Dus gedurende 3 jaar kan je images downloaden, heb je de nieuwste features en security patches. Een Smartnet support contract heb je alleen nodig voor hardware vervanging.

Bij netwerken komt steeds meer waarde in de software te liggen. In de IT wereld zijn dingen als cloud / software defined / pay-per-use / pay-per-month redelijk gangbaar. Eenmalige aanschaf van hardware is dan niet meer het juiste business model. Ik heb het idee dat netwerk beheerders daar een beetje achteraan hobbelen. Kan je een mooi netwerk hebben, maar als de organisatie hun klantendata bij Azure / AWS / Salesforce.com heeft staan en deze partij gaat failliet, dan kan je als organisatie ook wel inpakken..

Cisco heeft de DNA Center appliance belachelijk duur geprijsd. (Zeker als je redundant wil werken, want dan heb je er 3 nodig.) Totaal niet realistisch voor de Nederlandse markt. Ik heb begrepen dat ze met een cloud variant gaan komen, dus ik hoop dat dit verbeterd.

[jvanhambelgium]

Mooie uiteenzetting.
Ik had geen idee van prijzen van 2960 <> 9200 , dus het valt precies wel mee wat het "rip-off" gehalte betreft op dat vlak ;-)

Neemt niet weg dat de DNAC kwaliteit echt ondermaats is in sommige area's. Wij hebben inderdaad 3 DNAC's (in 2 DC's) maar zelfs iets banaals als een backup nemen gebruikt wel gekke protocols (NFS!! voor assurance/telemetry en SSH/RSYNC nodig voor config/db enz, hallo ? 2020 ? We hebben redelijk wat TAC-case gezien en updates moeten doen voor het zelfs werkte...

Wat is er moeilijk aan om vb enkel en alleen SCP te gebruiken ipv een NFS-client op de DNAC die een mount moet kunnen doen om prullen weg te schrijven naar je remote server waar mogelijks nog wat firewalling tussen zit.

Uiteindelijk is DNAC ook maar een Linux bak met daarop een hoop containers & docker, de boel aan elkaar geplakt met RabbitMQ en nog zoveel andere opensource zaken (vb ELK-stack etc) en er is nog ruimte voor verbetering...

[Bl@ckbird]

Ja dat zie ik helaas vaker bij nieuwe technologie. En niet alleen bij Cisco.
* Bl@ckbird kan zich nog de klachten herinneren van CallManager 3.

Wel vreemd dat er zoveel problemen zijn bij een product wat zo gericht is op de Enterprise markt. ( Waar high availability zo belangrijk is.) Je zou dan meer beta testing verwachten op een meer volwassen feature set.