Na čem postavit menší pobočkové sítě?

syskous · 2021-05-02T07:01:28+00:00

Jsem postaven před následující. V rámci nějakých rozumných financí postavit několik menších pobočkových sítí tunelem propojených do central zejména kvůli mon...

rsaf

cmgn Nech si postavit IP VPN od poskytovatele internetu

Čímž se krásně zavážeš jednomu ISP na spoustě lokalit.

Já bych se Mikrotiku zase až tak nebál. RB4011, všechna zřízení přímo do routeru, Unifi-AP na port 10 (PoE out), kamery na malý PoE switchík. Náhradní kus vyrobíš za 10 minut, kabely očíslované 1-10 přepojí i cvičená opice. Pokud by se jednalo o mnoho poboček po celé republice, může např. na jedné pobočce v kraji ležet záložní kus který jen nastavíš a oni si ho převezou...

Jinak plně souhlasím se svestka že APU jsou z hlediska spolehlivosti naprostá špička (provozujeme mnoho let desítky starších Alixů, umřely jen dva protože je odpálily špatné napájecí zdroje a jeden z nich se ještě podařilo opravit). Jenomže za router by jsi potřeboval ještě managed switch a rázem se celá topologie i konfigurace komplikuje.
RB4011 se, prozatím, jeví jako celkem stabilní zařízení.

theitman

Souhlasím s RSAF také bych se mikrotiku nebál naopak na UBNT to budeš mnohem složitěji konfigurovat. Plno věcí pouze přeš terminál protože je v GUI nemají resp. před dvěma lety neměly. Na hlavní pobočku bych se pak nebál dát CCR, které to bude všechno sbírat.

syskous

No popravdě jsem před x lety na mikrotik nedal dopustit, ale v době kdy několikrát se mluvilo o jejich bezpečnosti jsem opustil. Co tedy na pobočky 4011 a na centrálu car nebo 1100? jak si mikrotik odkazy poradit s open vpn?

pgb

syskous mikrotik a openvpn nejde dohromady. TCP v TCP. Až od verze ROS7 a to opravdu není jestě na produkci.

jcltm

syskous Myslím že ideální bude opravdu APU s pfSense. Případně jiný HW, pokud chceš víc výkonu - já beru barebone z Číny s 4C Intelem a Intel síťovkami za cenu APU. Všechno uděláš v GUI (na rozdíl od EdgeRouterů, kde musíš dělat skoro všechno přes CLI) a bezpečnost a stabilita je oproti Mikrotiku jinde. Na centrální pobočku pak na VPN koncentrátor nějaký lepší HW, třeba Supermicro. OpenVPN jede na pfSense výborně na rozdíl od Mikrotiku kde je to jeden velký pain.

svestka

jcltm hodil bys odkaz na desku z číny? dík.

jcltm

svestka https://www.aliexpress.com/item/1005001794025490.html

jcltm

svestka Tak x86 HW z Číny https://www.aliexpress.com/item/1005001794025490.html dneska dorazil bez jakékoli daně/cla, přeposílají to přes Nizozemí.

dacesilian

Když tam nebude Mikrotik, resp. bude k dispozici něco, na čem to poběží, tak bych jako VPN použil Wireguard. Pro routování pak bird s OSPF. Tunel může mít povolené přenášet všechny adresy (AllowedIPs) a jestli má více poboček veřejné adresy, dalo by se mezi nimi komunikovat i při výpadku centrály.

jcltm

dacesilian Na Wireguard bych se zatím vykašlal. Je to stále příliš čerstvé a problematické, z pfSense ho museli odstranit, protože to nefungovalo tak jako mělo. Teď podle všeho pracují na nové implementaci.

hapi

takový s*aní s tím... mikrotik rules.

Vzhledem k tomu na co to potřebuješ je totálně jedno jaký board od nich použiješ když to bude nad 1000,-. Ideálně třeba HEX S.

Pokud ti jde o bezpečnost tak prvně začni na své straně tedy v routeru samotném a jeho nastavení. A možná by bylo příhodné se podívat třeba na ubnt který je napadený více méně každého půl roku.

nofu

U těch mikrotiků, jaký šifrovaný tunel doporučujete? Totiž, už 14 dní koumesím možnosti, jak připojit pobočku firmy jinak, jelikož jsem po zrychlení internetu zjistil, že EoIP tunel s šifrováním IPsec má limit ~ 55Mbps (4011 vs hAP ac2). Pravděpodomně je to limit hardwarové akcelerace IPsecu, páč při vypnutí IPsec to jede plnou rychlostí.

martas

nofu Mrkni tady na stránce Mikrotik Wiki na hardwarovou akceleraci různých typů šifrování pro konkrétní RBčka a podle toho si nastav ten IPsec tunel. https://wiki.mikrotik.com/wiki/Manual:IP/IPsec#Hardware_acceleration

pgb

nofu koukni jak psal Marťas, já jsem na rb4011 testoval ipsec a dávalo to jednosměrně gigabit na @1500B. HapAC2 by měl podle webu dávat asi 400Mbps.

nofu

martas pgb coitus Flagy to má EH na obou stranách, Auth. Algorithm je SHA1, Encr. Algorithm je AES CBC, Encr. Key Size je 256, což je dle tabulky od @martas na hAP AC2 podporováno, RB4011 umí hardwarově akcelerovat všechny protokoly.

coitus

/ip ipsec installed-sa print 
Flags: H - hw-aead, A - AH, E - ESP

tunel musi mat flag H ak ej zapnuta hw-akceleracia.

pgb

nofu a CPU se chová jak při té zátěži?

nofu

pgb RB4011 okolo 2%, max jsem viděl 4%, hAP AC2 okolo 6%, ve špičce sem viděl i 17%. To mi přijde vpoho.

coitus

nofu
V prvom rade si treba uvedomit ze EOIP a IPSEC pouzivaju iny protocol. Takze na zaciatok by som spustil bandwith test protokolom UDP (ipsec pouziva udp) medzi pobockami. Pokial to da pozadovanu kapacitu (znamena ze linka je v poriadku), tak by som zabudol na EOIP (velky overhead) a nakonfiguroval standardny IPSEC Tunel:
https://wiki.mikrotik.com/wiki/Manual:IP/IPsec#Site_to_Site_IPsec_tunnel
Mame takto x konfiguracii mikrotik/mikrotik alebo cisco/mikrotik a funguje to bez problemov. Na mobilnych klientov pouzivame L2TP IPSEC:
https://babcuvpisecek.com/sitarina/jak-nastavit-l2tp-ipsec-vpn-na-zarizenich-mikrotik-funkcni-step-by-step-navod/
Samozrejme mozes pouzit aj konfiguraciu ze pobocky sa budu pripajat cez L2TP k centrale.

nofu

coitus L2TP IPsec již využíváme, jen to mám nakonfigurováno malinko jinak. Na ten tunel se ale budu muset podívat, jeví se to poněkud složitěji než EoIP. Každopádně díky! Určitě dám vědět, jak jsem dopadnul a jestli je to zlepšení oproti EoIP.

cmgn

nofu Jeden můj zákazník na této konfiguraci tahá v pohodě 300/300, tuším, že má proti sobě RB4011ky.

eqx311

to povetsinou zalezi od rozpoctu, ale pri soucasnem trendu "cloud edge" je asi idealni jako CE/PE zarizeni ve forme serveru s hypervizorem (vmware, kvm, xen... cokoliv) a jednotlive komponenty (router/firewall) virtualizovat. Da se experimentovat i s jiz overenou alternativou ku komercnim produktum jako napr. vyos ci danosproject. Zalezi od pozadavku na vykon a popr. nahlizet na budouci moznosti rozsireni pobocek o kam. system, AD, ovladaci soft pro pristupove karty, ids/ips atd...

rsaf

eqx311 Jakože místo routeru za tisícovku, maximálně 4 tisíce, bude na pobočce server za 40+? Je na trhu nějaké malé+levné+jednoduché+virtualizované IDS/IPS? To bych raději central office stavěl v datacentru a tyhle technologie měl centrálně...

Další stránka »