hw router pro velke linky 10GE/10GE

viktornovotny

hm, ze routovat switchem ? ... ted je tam ASR .. A901-6CZ-F-A ... a uprimne, jeho chovani nechapu ....

Cau, kolik ti tama tece? A jakou mas licenci na propustnost (to by mohl byt duvod proc se ti obcas zvednout odezvy)?

rikam dela to bez navaznosti na trafik ... udela to klidne v noci kdy tam tece malo ... takze na trafik to fakt nevypada

dalibortoman

rikam dela to bez navaznosti na trafik ... udela to klidne v noci kdy tam tece malo ... takze na trafik to fakt nevypada

ja bych se nejdriv

- podival na www.cisco.com ci neni nejaka pekna oprava v IOSu

- pak bych se obratil na Cisco (resp Alef nebo od koho jsi to koupil)

pokud jsi to jiz udelal a bylo Ti receno ze je feature tak to je jina.

viktornovotny

resilo se to, nikdo nic nevymyslel .. nakonec padla myslenka na vadu kusu .. vymenilo se za druhe .. a po par mesicich je to stejne ... :(

_zp

Hezky tu vsichni radi, ale priklad z praxe -- jeden nejmenovany ISP, ne uplne maly, to zkousel taky takhle low-costove. Nebudu rikat, co tam mel za krabice (10G uroutovaly, ale to, jak se dale ukaze, nestaci), nebudu rikat, kdo to byl, problem nastal v okamziku, kdy prisel DDoS na IP adresu onoho routeru, ten neumel CoPP a dana sit nakrasne prestala fungovat.

Pokud uposlechnete zdejsi rady a neporidite si aspon nejmensi model nejakeho aspon trochu dospeleho routeru (minimalne ASR1001, lepe ASR9001, nejmensi Juniper MX nebo alespon Mikrotik CCR), budete v takovem pripade mit problem tez. To uz je lepsi dohodnout se se svym upstream ISP, aby vam onen konkretni provoz, co na tom chcete routovat, smeroval do nejake jine VLANy, vyjde to mnohem levneji a v pripade problemu to neznamena vypadek cele site.

viktornovotny

dobra myslenka, defakto souhlas, az na to CCR, to nepovazuju za router co by mel odolavat utokum :-(

edit : jinak, kdo mate pristup k dobrym cenam cisco, juniperu .. ozvete se me do SZ, treba neco pekne domluvime :-) ja sice na cisco nejake zdroje mam, ale zrejme ne uplne nejlepsi .. diiky

ludvik

Jmenovat ISP by bylo možná už mimo mísu ... ale proč nejmenuješ ten hardware? Leckoho by to mohlo zajímat, alespoň teoreticky.

Ale osobně - co udělá mikrotik, libovolného typu routerboardu a libovolné verze ROS s DDoS? Padne ... tím ho sice omezí, ale výsledek určitě poměrně nechtěný.

viktornovotny

to ludvik zalezi co to je za strojek, x86 tedy server stroje udelaji to, ze se jim treba vyhlti ten iface na kterem utok prisel ..

ludvik

Proto jsem mluvil o routerboardu :-) Ale ani x86 v tomhle případě není až taková výhra.

to ludvik zalezi co to je za strojek, x86 tedy server stroje udelaji to, ze se jim treba vyhlti ten iface na kterem utok prisel ..

viktornovotny

njn, zpet k tematu :-)

radik

Hezky tu vsichni radi, ale priklad z praxe -- jeden nejmenovany ISP, ne uplne maly, to zkousel taky takhle low-costove. Nebudu rikat, co tam mel za krabice (10G uroutovaly, ale to, jak se dale ukaze, nestaci), nebudu rikat, kdo to byl, problem nastal v okamziku, kdy prisel DDoS na IP adresu onoho routeru, ten neumel CoPP a dana sit nakrasne prestala fungovat.

Mozna by to chtelo napsat jaky to byl HW. Ale pokud DDoS prochazi tak je to normalni traffic a musi projit. Pokud je to DDoS na stroj ktery routuje a spadne tak je asi pravdepodobne spatne nastaveny ACL. Zalezi co to presne udelalo v ten moment a jak to bylo nakonfigurovano.

_zp

dobra myslenka, defakto souhlas, az na to CCR, to nepovazuju za router co by mel odolavat utokum :-(

A to ja zase jo, pokud se bavime treba o CCR1036 nebo CCR1072. Architektura, na ktere je to postavene, je velmi zajimava.

Jmenovat ISP by bylo možná už mimo mísu ... ale proč nejmenuješ ten hardware? Leckoho by to mohlo zajímat, alespoň teoreticky.

Typicky slo prave o ono zneuziti L3 switchu ke core routingu.

_zp

Pokud je to DDoS na stroj ktery routuje a spadne tak je asi pravdepodobne spatne nastaveny ACL. Zalezi co to presne udelalo v ten moment a jak to bylo nakonfigurovano.

Nastavovat ACL, pokud mate router s desitkami interfaces a na kazdem z nich mate nejmene jednu, ale spise vice verejnych adres, je dost nightmare a dam ruku do ohne za to, ze ono ACL se uz po nekolika tydnech zacne se skutecnosti rozchazet. Proto existuje na slusnych platformach alespon CoPP, proto bylo sepsano RFC 6192 a proto nakonec Cisco prislo s LPTS.

radik

Nastavovat ACL, pokud mate router s desitkami interfaces a na kazdem z nich mate nejmene jednu, ale spise vice verejnych adres, je dost nightmare a dam ruku do ohne za to, ze ono ACL se uz po nekolika tydnech zacne se skutecnosti rozchazet.

Nemyslel jsem takto udelany ACL, takto ztrácí smysl...

majklik

U těch ACL sito chce jen ohlídat, abych nepoužil něco, co není realizováno v hardware, ale předává se k řeěení až do sodtware v CPU, to pak i pěkně vymazlené ACL, co se takto doře trefí, tak se bedna složí.... Na nějakém Ciscu jsem si takto nabil držku, když si člověk provotně nevšiml, že ACLka vázaná třeba na MAC adresy šly u dané bedny přes CPU a ne vyřízeno v ASICu...

A to ja zase jo, pokud se bavime treba o CCR1036 nebo CCR1072. Architektura, na ktere je to postavene, je velmi zajimava.

To je pravda, ale i to CCR bude mít své limity, občas mám dojem, že tráví většinu času přemýšlením, který CPU by to měl obsloužit místo toho, aby to u některých funkcí něco dělalo. :-(

Nu, uvidíme po Novém roce, asi bude pokus na tém 2 ks CCR1072 a obsloužit tím full BGP IPv4/6 pro 4x10 Gbps konektivitu, co to bude dělat...

« Předchozí stránka