clonex
Goto Top

Erneuerung Netzwerk Komponenten

Hallo,

im Zuge der DSGVO und allgeminer Sicherheit etc. wollen wir unsere derzeitigen Netzwerkkomponenten austauschen.
Am entsprechenden Standort sind ca. 250Mitarbeiter die auf IT-Ressourecen/Netzwerk zugreifen. Zwei Serverräume und 8 Etagenverteiler. Ziel sollen die Etagenverteiler sollen doppelt also je einmal an jeden Serverraum angeschlossen werden. Backbone 10GBits. Zwischen den Serverräumen 4x10GBits.

Derzeit im Gespräch sind Aruba für jeden Serverraum (Core) 1x8320 und 2x2930. ESXi Server sollen einmal an den 8320 und einmal per passiver Verkabelung auf den 8320 im anderen Serverraum angeschlossen werden.
Die Etagenverteiler sollen je 1x Aruba 2930 werden.
Anfangs sollen dann VLANs konfiguriert werden und in einem zweiten Schirtt NAC (ClearPass) eingeführt werden.

Hat jemand allgemiene Erfahrungen mit HPE/Aruba Switchen. Wie sieht es mit administierung aus? Firmware Updates? Fehler zuständen?
Hat jemand die ClearPass NAC Lösung im Einsatz und kann dazu etwas berichten?

Content-ID: 381798

Url: https://administrator.de/forum/erneuerung-netzwerk-komponenten-381798.html

Ausgedruckt am: 23.12.2024 um 02:12 Uhr

Pjordorf
Pjordorf 31.07.2018 um 12:10:41 Uhr
Goto Top
Hallo,

Zitat von @clonex:
im Zuge der DSGVO und allgeminer Sicherheit etc. wollen wir unsere derzeitigen Netzwerkkomponenten austauschen.
Was haben eure Switche mit DSGVO zu tun oder wie sollen andere neue Switche die Sicherheit verbessern? Wie sieht eure jetzige Struktur aus, welche Switche sind vorhanden, wie sind diese Konfiguriert und wie ist eure Sicherheit davon betroffen?

Am entsprechenden Standort sind ca. 250Mitarbeiter die auf IT-Ressourecen/Netzwerk zugreifen. Zwei Serverräume und 8 Etagenverteiler. Ziel sollen die Etagenverteiler sollen doppelt also je einmal an jeden Serverraum angeschlossen werden. Backbone 10GBits. Zwischen den Serverräumen 4x10GBits.
Das ist doch nur ne andere Form des anklemmens.

Gruß,
Peter
ukulele-7
ukulele-7 31.07.2018 um 12:15:21 Uhr
Goto Top
Das mit der DSGVO hat meiner Meinung nach auch nichts mit dem Netzwerk zu tun.

Wir haben kürzlich auf 2x Aruba 5406R umgestellt, da hab ich schon ein paar Erfahrungen sammeln können. Ich weiß das HP bei einigen hier einen schweren Stand hat und würde auch Rucus in Erwägung ziehen aber wenns HP werden soll guck dir mal 5412R und 5406R an, ich find die Dinger schon ziemlich gut und der Preis war am Ende auch nicht schlecht.
clonex
clonex 31.07.2018 um 12:22:07 Uhr
Goto Top
Zitat von @ukulele-7:

Das mit der DSGVO hat meiner Meinung nach auch nichts mit dem Netzwerk zu tun.


DSGVO wegen aktuellen Stand der Technik.. Support/Wartung/Ersatzteilversorgung.

Derzeit ein einfach verkabeltes Netzwerk. Enterasys + 3Com. Alles nur auf 1G. Keine Segmentierung, keine VLANs. Alles ein großes Netzwerk.
SlainteMhath
SlainteMhath 31.07.2018 aktualisiert um 12:39:22 Uhr
Goto Top
Moin,

ich hab hier auch mehere 54xxR in verschiedenen Cu/FC mit 100/1G/10G im Einsatz und bin mit den Kisten echt zufrieden. Gegen die 29xx'er gibts eigentlich auch nix einzuwenden. Ist für euer Einsatzszenario gut geeignet. Preis/Leistung passt bei HPE/Arube mEn (auch wenn hier sicher gleich der @aqui in den Thread springt und die was anderes erzählt face-smile )

lg,
Slainte
aqui
aqui 31.07.2018 aktualisiert um 12:54:26 Uhr
Goto Top
Ja muss man aber leider auch, denn diese Switches sind keine Eigenentwicklung sondern zugekaufte Massenbarebones von Accton wo HPE nur sein Bäppel raufklebt.
Entsprechend schlecht ist auch deren Performance und Featureset. Wie immer in dem Bereich intern überbuchte Billigchipsätze von Marvell und ein recht kastriertes Featureset mit schlechten bis gar keinen Stacking Optionen.
Wie immer ein Grund besser die Finger von HPE Billigswitches zu lassen. Gerade bei 10G.

Es gibt andere die dort Besseres leisten.
Ruckus ICX Switches oder Cisco SG500 Modelle sind den HPE Gurken meilenweit technisch voraus. Besonders die Ruckus ICX bieten mit der horizontal Stacking Option eine hervorragende Option die Infrastruktur über Core Stacks und per LACP LAG angebundenen Accesss effizent und performant zu vernetzen. HPE mit billigem Clustering kann das z.B. nicht.
Die können zwar gute Server, Laptops und Drucker aber im Netzbereich haben sie nur einen billigen und rein zugekauften Zoo mit 3 Technikreihen die nichtmal kompatibel sind. (Accton, Aruba, 3Com/Huawei). Eigenentwicklung Fehlanzeige.
Aber egal, jeder bekommt halt die Switches die er verdient face-wink
ukulele-7
ukulele-7 31.07.2018 um 13:06:10 Uhr
Goto Top
Nunja, also Geschwindigkeit ist der DSGVO unbestreitbar egal. "Stand der Technik" zielt natürlich auf Sicherheit ab aber einen Switch auzutauschen um ein "aktuelleres Patchniveau" zu haben halte ich i.d.R. für übertrieben. Wenn die keine Schwachstelle haben würde auch ein eigenes Management Network die Sicherheit steigern.

Das ist ein bischen so wie mir die Zertifizierer immer erzählen ich bräuchte auf allen Geräten (auch Android und so) einen aktuellen Virenscanner wegen der Sicherheit. Da kann man schon drüber streiten.
maretz
maretz 31.07.2018 um 13:19:17 Uhr
Goto Top
Moin,
das hat trotzdem mit DSGVO nix zu tun... Ersatzteile gehen der erst mal genauso am Ar... vorbei wie Wartung und Support -> die hat damit nix zu tun. Wenn ihr das intern so verkauft bekommen habt - respekt, derjenige der es unterschreibt hat vermutlich in der Schule beim Lesen lernen auch eher die Kreide geholt...

Frage die sich hier eher stellt: Wieviel Erfahrung habt ihr in dem Bereich. Denn wenn ich das so lese ist das bisher recht "grundlegend" gebaut worden. Dann muss euch klar sein das ihr erst mal einiges an Hirn in die Planung stecken müsst. Einfaches Beispiel: Du baust ein "Server-VLAN" und ein/mehrere Client-VLANs. DAS ist schnell gemacht, bis du merkst das ohne irgendeine Form vom Helper das ganze DHCP-Geraffel nich mehr hinhaut... Wenn du dann nich noch das ganze Server-VLAN etwas abschottest und nur das zulässt was wirklich gebraucht wird -> dann spar den ganzen Kram einfach gleich.

Wenn du DAS hast dann ist die Wahl der Hardware fast egal - das entscheidet eher das Budget am Ende...
clonex
clonex 31.07.2018 um 13:36:57 Uhr
Goto Top
Okay.. es ist ja nicht nur wegen der DSGVO.. aber auch ;) die jetzigen Dinger sind einfach alt und keine Segmentierung etc. etc.

@aqui wirft da Cisco Geräte in den Raum die man garnicht mehr kaufen kann. Cisco SG500
Von Ruckus hab ich noch nie etwas gehört.

Die 54xx sind das die ehemaligen HP Switch 5406zl (J8697A) ? Und die würdest du dann anstelle der Aruba 8320 nehmen oder wie?
ukulele-7
ukulele-7 31.07.2018 um 13:48:01 Uhr
Goto Top
Ja die 54xxR zl2 sind aktuell. Module haben dann noch v2 oder v3 in der Bezeichnung, plane nur mit v3 Modulen. Wenn ihr euch ein Angebot für euer Netzwerk einholt kann derjenige sicher beides anbieten dann kan man das mal gegenüber stellen. Als Access Switches kann man nach wie vor 2930er oder was auch immer nehmen, ich habe da alte Kisten genommen (Cisco, Linksys, HP) und die beiden 54xxR bilden den Core.

10G haben sie bisher nur untereinander, soll dann in die neuen Server rein. So weit bin ich aber noch nicht, habe bisher nur ein paar Ports dafür.
Kuemmel
Kuemmel 31.07.2018 aktualisiert um 13:56:14 Uhr
Goto Top
Hi,

Zitat von @clonex:
@aqui wirft da Cisco Geräte in den Raum die man garnicht mehr kaufen kann. Cisco SG500
Kann man. Aqui meint die SG500-Familie. Die heißen schon länger so. Aktuell ist es das SG550-Modell.
Von Ruckus hab ich noch nie etwas gehört.
Traurig.

Gruß
Kümmel
clonex
clonex 31.07.2018 um 13:57:54 Uhr
Goto Top
Zitat von @ukulele-7:

10G haben sie bisher nur untereinander, soll dann in die neuen Server rein. So weit bin ich aber noch nicht, habe bisher nur ein paar Ports dafür.

Damit wären die 54xxR zl2 dann nichts für uns. Wir wollen ja an die Core 8320 dann auch per 10G unsere Server anschließen mittels FC.
SlainteMhath
SlainteMhath 31.07.2018 um 14:18:11 Uhr
Goto Top
Damit wären die 54xxR zl2 dann nichts für uns. Wir wollen ja an die Core 8320 dann auch per 10G unsere Server anschließen mittels FC.
Das hasst du falsch verstanden. Für die 54'er gibt's natürlich 10G Module. Ich hab hier Kisten mit 16 oder mehr 10G (DAC und FC) Ports am laufen.
clonex
clonex 31.07.2018 um 14:28:42 Uhr
Goto Top
Zitat von @SlainteMhath:

Damit wären die 54xxR zl2 dann nichts für uns. Wir wollen ja an die Core 8320 dann auch per 10G unsere Server anschließen mittels FC.
Das hasst du falsch verstanden. Für die 54'er gibt's natürlich 10G Module. Ich hab hier Kisten mit 16 oder mehr 10G (DAC und FC) Ports am laufen.

Ah okay... verstanden. Google hat nun auch geholfen. Dann wäre das ja eigentlich viel sinnvoller für uns, anstelle der beiden 8320. Mal dem Dienstleister vorschlagen.
Wie empfindest du sonst so das täglich arbeiten damit? Nutzt du AirWave und ClearPass?
ukulele-7
ukulele-7 31.07.2018 um 14:31:28 Uhr
Goto Top
Nein nicht falsch verstehen, 10G SFP+ Ports habe ich schon, nur noch keine Module und neue Server die kommen später. Bisher habe ich die halt nur untereinander mit 10G vernetzt weil in meiner Umgebung noch nichts anderes 10G kann.

Hier mal eine Liste mit Modulen:
https://support.hpe.com/hpsc/doc/public/display?docId=emr_na-c04334340
Ob sich das für euch ausreichend dimensionieren läßt musst du selbst beurteilen. Wenn ein 54xxR pro Serverraum nicht reicht würde ich auch eher Richtung Ruckus Campus Switches schauen. Ich denke der Vorteil bei HP 54xx ist Preis/Leistung, die Campus Reihe von HP wird vermutlich teurer werden.
Deepsys
Deepsys 31.07.2018 um 16:16:36 Uhr
Goto Top
Zitat von @clonex:
Von Ruckus hab ich noch nie etwas gehört.
Aber vielleicht von Brocade?
Das sind die Ruckus Switche; gekauft von Broadcom und dann an Ruckus/Arris verkauft .... wenn ich das so richtig verstanden habe ...

Wir haben Juniper, aber ich muss sagen das ich die Ruckus/Brocade auch interessant finde ...
Bei HP ging mir auf den Sack das die damaligen Kisten (vor 4 Jahren) nur eine Weboberfläche mit Java hatten. Irgendwann ging das dann mit aktuellem Java nur mit viel Mühe. Aber das waren auch kleinere Kisten.

Hauptsache die haben eine CLI, das ist viel wert face-smile
clonex
clonex 31.07.2018 aktualisiert um 16:34:26 Uhr
Goto Top
Zitat von @Deepsys:

Zitat von @clonex:
Von Ruckus hab ich noch nie etwas gehört.
Aber vielleicht von Brocade?
Ja eben mal schlau gelesen. Schon interessant wer da wen wie was aufkauft.


Bei HP ging mir auf den Sack das die damaligen Kisten (vor 4 Jahren) nur eine Weboberfläche mit Java hatten. Irgendwann ging das dann mit aktuellem Java nur mit viel Mühe. Aber das waren auch kleinere Kisten.
Ja das Java kenne ich von anderen älteren HP dinger.. sehr fiese Sache. Ist bei den neuen ja hoffentlich nicht mehr so bzw. durch AirWave dann eh eine Admin Oberfläche.


Zitat von @ukulele-7:

Hier mal eine Liste mit Modulen:
https://support.hpe.com/hpsc/doc/public/display?docId=emr_na-c04334340
Ob sich das für euch ausreichend dimensionieren läßt musst du selbst beurteilen. Wenn ein 54xxR pro Serverraum nicht reicht würde ich auch eher Richtung Ruckus Campus Switches schauen. Ich denke der Vorteil bei HP 54xx ist Preis/Leistung, die Campus Reihe von HP wird vermutlich teurer werden.
ziemlich schwierig da was zusammen zu bauen. Aber gute Idee. So können wir wenigstens 8x 10G Cu Ports auffangen die wir sonst umrüsten müssten.
Spirit-of-Eli
Spirit-of-Eli 31.07.2018 um 19:10:39 Uhr
Goto Top
Moin,

HPE ist schon nicht schlecht auch wenn ich mich mit der CLI noch nicht sonderlich anfreunden kann.

Dafür bin ich absolut von der NAC Lösung Clearpass von ehemals Aruba über zeugt!
Wir haben jetzt schon viele Features umgesetzt und kratzen dennoch nur an der Oberfläche. Zudem ist der Support von HPE diesbezüglich sehr hilfreich!

Solltest du dazu Fragen haben, wende dich gerne an mich.

Gruß
Spirit
clSchak
clSchak 31.07.2018 aktualisiert um 21:31:53 Uhr
Goto Top
Hi

HPE und 10G? Sorry das kannst einfach knicken, wir hatten ein paar Teststellungen und keiner der 10G Ports konnte auch nur ansatzweise die Leistung liefern. Der 5406 hat eine Backplane von 345,6Gbit und da sollen dann 24 x 10 G reingehen - moment: 24 x 10G x 2 (FullDuplex) = 480G ups ... sagt schon alles (https://gzhls.at/blob/ldb/9/d/a/f/2f84c95416a5eb4275775ea24390491bd80c.p ..)

Ich würde von solchen Geräten die Finger lassen, wenn du viele 10G Ports benötigts, dann kannst z.B. Ruckus ICX7750 nehmen, die haben direkt 6 x 40G onboard und freigeschaltet. Über passende QSFP Module kannst du einen Stack über beide Serverräumen ziehen und daran dann ggf. 7250er für die 1G Verbindungen der Server anschließen und für den gesamten Edge/Clientbbereich ICX7150-48 PoE oder ICX7150-48PF für HPoE.

Die 10G Verbindungen zu den Servern kannst auch mit 10 DAC passive Kabeln lösen, dann kannst einfache SFP+ Karten verbauen, Hersteller der SFP+ / QSFP Module kannst bei Ruckus frei wählen, wir setzen Finisar und FS Module ein ohne jegliches Problem.

NAC Lösungen laufen auch mit den Geräten, nur das die Hardware deutlich mehr Leistung hat.

Gruß
@clSchak
Th0mKa
Th0mKa 01.08.2018 aktualisiert um 09:34:08 Uhr
Goto Top
Zitat von @clSchak:

Der 5406 hat eine Backplane von 345,6Gbit und da sollen dann 24 x 10 G reingehen - moment: 24 x 10G x 2 (FullDuplex) = 480G ups ... sagt schon alles

Naja, wenn du nur 10G Ports benötigst machen modulare Switche jetzt auch nicht soo viel Sinn. In typischen Mischkalkulationen mit 10G und 1G sind die 345GBit schon ausreichend.

/Thomas
aqui
aqui 01.08.2018 um 10:26:18 Uhr
Goto Top
Chassis basierte Switches sind tot heutzutage. Wenn, dann setzt man nur nch Stacking fähige ein die eine vernünftig skalierbare Stack Infrastruktur haben (40G) und auch Stack Trunking ermöglichen.
Idealerweise mit einer Fabric Technologie wie TRILL oder SPB. Auch hier ist HP wieder unter "ferner liefen".
Bleibt also dabei, besser diesen Hersteller zu meiden. Zumindest wenn es um Netzwerk Infrastruktur geht....
clonex
clonex 02.08.2018 um 11:49:46 Uhr
Goto Top
Wie komme ich denn einfach an Preise von den Ruckus Switchen dran. Finde per google da leider nicht wirklich etwas zu :/
Denn HPE/Aruba ist (rein preislich) schon Top. ABer klar, einige einschränkungen muss man dann sicherlich hinnehmen. Ist dann wieder Budget vs. Funktionen.

Wie ist es bei Ruckus mit der Lebenszeit von Switchen. Die haben ja die Geräte so von Brocom übernommen. Bei uns wird Netzwerkseitig gerne auf 10-15Jahre geplant... daher haben wir noch 3com im Einsatz...
clSchak
clSchak 02.08.2018 aktualisiert um 12:40:19 Uhr
Goto Top
10-15 J fürs Netzwerk? *mutig* würde ich mal sagen, da der Support für Firmware meistens nur 5J gewährleistet ist - wobei das bei Switchen eher unkritisch ist wie ich finde. Hardwareausfälle werden im meistens länger abgedeckt (5-10J)

Wenn du _gescheite_ Hardware suchst wirst im Netz nur Straßenpreise finden, du muss das über Fachhändler machen die das dann als Projekte anbieten oder direkt beim Hersteller, die werden dich dann an einen oder zwei Fachhändler weiterleiten und die können dir dann auch passenden Angebote zukommen lassen.

Anfragen und Angebote kosten nichts und Konkurrenz belebt das Geschäft face-smile, Bedarfprofil erstellen und den Einkauf Preise ranholen lassen.