Ervaringen layer3 switches (Cisco, HP, Foundry, Extreme)

[Theodoor]

Hier op mijn werk hebben we een layer 3 switch van 3com (4924). We zijn er niet echt positief over. Het apparaat kan maar 100 security regels aan, biedt weinig functionaliteit (bijv. geen radius authenticatie op MAC adres), het apparaat is traag en het lijkt dat het apparaat ook storingsgevoelig is (regelmatig gaan er dingen stuk).
Om dat het apparaat niet voldoet aan onze eisen en wensen: we willen snelle en betrouwbare routing met veel beveiligingsmogelijkheden, overwegen we een nieuwe layer3 switch aan te schaffen. We weten nog niet welk merk het wordt Cisco, HP, Foundry of Extreme.

Ik ben benieuwd naar jullie ervaringen met layer3 switches van bovenstaande merken. Hoe is bijvoorbeeld de support? Is de switch betrouwbaar? Is routering met een routingtabel tot 40 static-routes snel? Biedt de switch in jouw geval voldoende beveiligingsfunctionaliteit? etc. etc. etc.

Met welk merk switch hebben jullie de beste ervaringen? Welke switch is qua prijs/kwaliteit verhouding het beste?

Vertel op

[Duinkonijn]

IK heb op me werk 2 Cisco Catalyst 3750G - 24TS­
(24 Ethernet 10/100/1000 ports and 4 SFP uplinks)

acl's heb ik tot op heden geen beperkingen op gehad
hij heeft een backplane van 32gb

radius authenticatie op MAC adres is wel mogelijk maar is niet ingebouwd meen ik


http://www.cisco.com/en/U...witches/ps5023/index.html

ik werk met vaste route tabellen gezien ik maar 3 routers in me netwerk heb

voor de service heb ik voor beide voor 3 jaar Service Contracts afgesloten
zodat ze binnen 4 uur op de stoep staan indien er shit uitbreekt
heb ze nog niet hoeven gebruiken. (in het afgelopen jaar dat ik nu met ze werk)

voordeel van de 3750 is ook dat ze "act as one" hebben


stel je heb er 3 in je rek gestackd. en der valt er 1 weg dan nemen de 2 andere het over.

wat ook ideaal is.. door dat ze gestackd zijn gaan ze kwa configuratie ook als 1 werken je hoeft niet de hele tijd je console kabel om te pluggen..

verders heb ik er 2 apc units bij staan om storingen te verkomen die door het spanningsnet kunnen worden veroorzaakt

beveiling is in mijn geval zeer geschikt.. de clients zitten in andere vlans die d.m.v. van acl's ook nog eens beveiligd zijn... ze kunnen de switch niet configureren via telnet / http gezien dit door dezelfde acl`s voorkomen wordt.

overigens kan ik gewoon van uit het beheerders vlan dit wel doen..

momenteel heb ik 10 vlans...

[ Voor 130% gewijzigd door Duinkonijn op 19-08-2004 13:47 ]

[Question Mark]

Ik denk dat het in jouw situatie handiger is om een pakket met eisen op te stellen waar de nieuwe switch aan moet voldoen. Denk hierbij aan:

- snelheid backplane
- routeringsprotocollen
- radiusmogelijkheden
- reducandancy (evt. meerdere route-processors)
- etc.

Als deze vereisten in kaart gebracht zijn, kun je pas goed gaan zoeken naar merk en/of type. Ook zal om deze eisen goed op te stellen een goed inzicht moeten zijn in het huidige (en verwachte netwerkverkeer) wat de switch af zal moeten handelen.

Op mijn werk maken we gebruik van zowel Cisco als 3Com apparatuur, waarbij de 3Com apparatuur bijna uitgefaseerd is. Ervaringen met beide merken zijn goed. Ik heb zelf een voorkeur voor Cisco, maar dat komt omdat ik Cisco gecertificeerd ben. Iemand met 3Com papieren heeft een voorkeur voor 3Com....

[ Voor 23% gewijzigd door Question Mark op 19-08-2004 13:45 ]

[usr-local-dick]

Duinkonijn schreef op 19 augustus 2004 @ 13:32:
IK heb op me werk 2 Cisco Catalyst 3750G - 24TS­
(24 Ethernet 10/100/1000 ports and 4 SFP uplinks)

acl's heb ik tot op heden geen beperkingen op gehad

radius authenticatie op MAC adres is wel mogelijk maar is niet ingebouwd meen ik

Ik heb die switch ook en ik ben er matig tevreden over.
Toen ik hem ging configureren kwam ik erachten dat hij niet de uitgebreide statefull inspection kon doen (weet effe de naam niet precies meer). Dat was jammer.
Ook vond ik het een vieze streek van Cisco om te zeggen dat hij IPv6 ready was, maar eenmaal uitgepakt bleek dat alleen de hardware IPv6 ready was.
Meaning: het IOS ondersteunt het nog niet
Hopen op een update (dit jaar ?)
We doen hier trouwens 802.1X met radius en dat werkt wel prima (dus ook met vlan's switchen adhv de logins).
Ook jammer dat hij redelijk groot is, had hem wel een maatje kleiner wilen zien (model 2950 ofzo).

[Verwijderd]

Niet de uitgebreide statefull inspection kon doen ????? We hebben het hier niet over firewalls maar over multilayer switches dus als hij daar al iets mee kan is het meer als waarvoor het apparaat bedoeld is lijkt mij.

Ik denk zelf dat cisco de beste papieren heeft en ook de meeste bank papiertjes vraagt.

[Theodoor]

We willen met de toekomstige switch wel aan connection state tracking gaan doen. Dus dat netwerk 1 wel sessies op kan zetten naar netwerk 2, maar dat netwerk 2 geen sessies op kan zetten naar netwerk 1. Dit uiteraard op wirespeed. Volgens de consultants die we hadden ingehuurd kan/kon dat ook met die 3Com 4924.

[Verwijderd]

Theodoor schreef op 19 augustus 2004 @ 21:17:
We willen met de toekomstige switch wel aan connection state tracking gaan doen. Dus dat netwerk 1 wel sessies op kan zetten naar netwerk 2, maar dat netwerk 2 geen sessies op kan zetten naar netwerk 1. Dit uiteraard op wirespeed. Volgens de consultants die we hadden ingehuurd kan/kon dat ook met die 3Com 4924.

Kunnen en aan te bevelen zijn zijn twee verschillende dingen, multi layer switches zijn hier in princiepe niet voor gebouwd, dit soort zaken wordt meestal niet in hardware afgehandeld en zal dan ook vaak een enorme hit op je performace opleveren.

Laat de consultant anders een een onderbouwde performance voorspelling opzetten. Ik vrees dat als je dat reeel gaat bekijken dat het allemaal wel eens tegen zal kunnen vallen.

Het is ook niet voor niets dat de 6500 een ids module als optie heeft

[Theodoor]

Maar is het uberhaupt mogelijk om met ACL's op multi-layer switches (HP 5300XL / 3Com 7700) op te geven dat netwerk 1 wel computers op netwerk 2 mag bereiken, maar dat netwerk 2 niet naar netwerk 1 mag? Netwerk 2 mag dus alleen antwoord geven op geïnitieerde sessies vanaf netwerk 1. Ik heb al redelijk wat handleidingen bestudeerd en het blijkt dat je ACL's zowel op inbound als op outbound verkeer kan toepassen. Maar het word mij niet duidelijk wat de consequenties zijn als je een deny ACL-rule toepast op bijvoorbeeld alleen inbound verkeer. Kan dan outbound-verkeer wat bij een sessie hoort dan ook niet meer terug? Als dat waar is, wat heb je dan aan het onderscheid outbound en inbound? Zowieso vind ik de term inbound en outbound (o.a. HP gebruikt deze termen in hun handleidingen) verwarrend omdat je ook zoiets hebt als het source IP/mask en het destination IP/mask...

We willen graag multi-layer switches gebruiken omdat zo'n oplossing veel eenvoudiger te beheren is. Anders moet je zowel een layer2 switch als ook nog een router beheren. Een oplossing gebaseerd op een layer2 switch en een router betekent ook een nieuw probleem: single point of failure. Je moet zowel de router als de layer2 switch redundant uitvoeren. Dat kost veel geld. Terwijl een beetje multi-layer switch ook hotswappable powersupplies en switchblades heeft. Maar goed jullie hebben me in ieder geval wel aan het denken gezet over een oplossing van een Juniper router met een layer2 switch.

[ Voor 10% gewijzigd door Theodoor op 22-08-2004 02:58 ]

[StevenK]

Ik heb sterk het gevoel dat voor het dichtzetten zoals TS dat wil, een separate firewall veel verstandiger is.