Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Redundanter Uplink auf Switch

Mitglied: k00b0ld

k00b0ld (Level 1) - Jetzt verbinden

13.02.2020, aktualisiert 12:23 Uhr, 484 Aufrufe, 11 Kommentare

Hallo,

folgende Ausgangssituation:

Ich möchte die Firewall (gleichzeitig VPN-Gateway) im Netzwerk redundant auslegen und habe daher zwei identische Geräte. Außerdem habe ich einen managed Switch (Zyxel XGS1930) und verwende VLANs zur Segmentierung. Hinter dem Switch hängen Server.

Das Problem in diesem Aufbau ist nun natürlich, dass ich nicht einfach so mit zwei Uplinks den Switch versorgen kann, da kommt es zu Kollisionen. Ich habe es momentan deshalb so gelöst, dass die zweite Verbindung "NET" (zwischen Switch und Firewall 2) momentan mittels Port-Deaktivierung am Switch deaktiviert ist. Bei Ausfall von Firewall/VPN-Gateway 1 würde ich dann händisch umschalten. Das ist keine schöne Lösung, ich weiß. Wie kann ich es jedoch schöner lösen? Kann STP hier irgendwie eine Lösung sein, auch wenn ich nur einen einzigen Switch im Einsatz habe?

Danke für eure Ideen
k00b0ld

P.S. Für richtige Redundanz müsste natürlich auch Switch und WAN-Port zweifach ausgelegt sein. Dies ist momentan aber nicht möglich und daher nicht Teil der Frage.
netzaufbau - Klicke auf das Bild, um es zu vergrößern
Mitglied: brammer
13.02.2020 um 12:28 Uhr
Hallo,

HSRP oder VRRP sind dafür deine Schlagworte.

Ob der Zyxel sowas kann weiss ich nicht....
und ob deine ungenannten Firewalls das können weiß ich auch nciht.

brammer
Bitte warten ..
Mitglied: IT-Prof
13.02.2020, aktualisiert um 13:02 Uhr
Die Firewalls lassen sich nicht zu einer logischen Firewall zusammenfassen?

Mit den Switches, bzw den mögliche Features, würde ich Abstand nehmen von dem Vorhaben.
Du tauscht Fisch gegen Fleisch und öffnest die Tür für andere Probleme, deren Beherrschung du vermutlich nicht gewachsen bist.

Die Switches zu stacken, sofern möglich, ist auch keine Lösung, weil du dann mehr logische Probleme hast, als die Wahrscheinlichkeit eines Failover der Hardware.
Bitte warten ..
Mitglied: aqui
13.02.2020, aktualisiert um 13:30 Uhr
dass ich nicht einfach so mit zwei Uplinks den Switch versorgen kann, da kommt es zu Kollisionen.
Nein, das ist falsch, denn bei den Zyxels sollte immer RSTP Spanning Tree im Default aktiv sein die ein Looping im Netz sicher verhindern. Wenn es nicht aktiv ist gehört es immer eingeschaltet in solchen Redundanz Designs.
Kollisionen ist übrigens etwas ganz anderes was damit nichts zu tun hat.

Die alles entscheidende Frage ist hier WIE dein Firewall Cluster funktioniert ? Leider kommen dazu keinerlei Infos so das man auch in Bezug auf das davon abhängige Netzwerk Design nur im freien Fall oder mit Kristallkugel raten kann.
Nur so viel:
Wenn das Cluster einen LACP LAG (802.3ad) von beiden Membern supportet solltest du es immer damit lösen. Damit hast du nicht nur die doppelte Bandbreite sondern auch ein automatisches Failover. Sowas geht aber meist nur in einem Active Active Design der FWs.
In einem Active Passive Design oder Standbay Design geht das natürlich nicht. Da ist dann Spanning Tree dein Freund.
Aber wenn man sich dein Design ansieht dann gibt es ja keinerlei Loops. Die Firewall sind ja in beiden VLAN Doamins rein nur sternförmig angeschlossen. Einen "Querlink" der die FWs nochmal direkt in beiden VLANs verbindet gibt es ja nicht. Folglich also keinerlei Loops in dem Design. Eben solches gilt ja auch für den Server, der uralt und Steinzeit mässig 2 separate VLAN Links hat.
Viel sinnvoller wäre es den Server auch mit einem LACP LAG anzubinden und dann Tagged in beiden VLANs. Siehe hier:
https://administrator.de/wissen/vlan-routing-802-1q-trunk-ms-linux-serve ...

Kollege @brammer hat oben schon recht. Je nachdem WIE das Clustering der Firewalls realisiert ist entscheidet das über das Netzwerk. pfSense und OPNsense z.B. supporten ein Clustering über CARP und dann eine gemeinsame virtuelle IP Adresse die sie sharen. Also letztlich eine VRRP bzw. HSRP Design, was ja auch sinnvoll ist.
Auch hier sollte man die Firewall wie auch den Server über einen Tagged LACP LAG anbinden und niemals mit VLAN spezifischen Einzellinks.

Klassische redundante FW Standard Designs sähen so aus:

stackfw - Klicke auf das Bild, um es zu vergrößern
Bitte warten ..
Mitglied: SlainteMhath
13.02.2020 um 13:00 Uhr
Moin,

Ob der Zyxel sowas kann weiss ich nicht....
Der Switch muss das in der vom TO genannten Konstallation auch nicht können. VRRP/HSRP muss auf den Firewalls laufen.

lg,
Slainte
Bitte warten ..
Mitglied: brammer
13.02.2020 um 13:03 Uhr
Hallo,

@SlainteMhath

korrekt, der Switch hat da mit nichts zu tun....

brammer
Bitte warten ..
Mitglied: k00b0ld
13.02.2020, aktualisiert um 13:40 Uhr
Hallo,

danke für die vielen schnellen Antworten.

Um die aufgekommende Fragen zu beantworten: Bei den Firewalls kommt OPNsense zum Einsatz und beide werden im Transparent Bridge Mode betrieben. Aufgrund dessen ist leider kein HA/Clustering mittels CARP möglich.

Viele Grüße
k00b0ld
Bitte warten ..
Mitglied: SlainteMhath
13.02.2020 um 14:49 Uhr
Transparent Bridge Mode
Tjo, dann müsst ihr die FWs eben umkonfigurieren, damit ihr das dann so wie von aqui beschrieben aufbauen könnt.

Darf ich fragen warum ihr die beiden FWs transparent fahrt?
Bitte warten ..
Mitglied: k00b0ld
13.02.2020, aktualisiert um 15:07 Uhr
@SlainteMhath
Hinter den Firewalls hängen drei Server, die direkt über öffentlichen IP-Adressen angesprochen werden. Die IPs werden im Transparent Bridge Mode direkt durchgereicht und die Firewall ist nicht sichtbar.
Bitte warten ..
Mitglied: Th0mKa
13.02.2020 um 16:03 Uhr
Zitat von k00b0ld:

@SlainteMhath
Hinter den Firewalls hängen drei Server, die direkt über öffentlichen IP-Adressen angesprochen werden. Die IPs werden im Transparent Bridge Mode direkt durchgereicht und die Firewall ist nicht sichtbar.
Und das macht ihr weil es welchen Vorteil hat?

/Thomas
Bitte warten ..
Mitglied: aqui
13.02.2020 um 16:10 Uhr
Vermutlich um sinnvoll kostbare, öffentliche IP Adressen zu sparen deren Verbrauch um ein Vielfaches höher wäre in einer gerouteten FW Umgebung !
Transparent macht da also Sinn.
Bitte warten ..
Mitglied: SlainteMhath
13.02.2020 um 16:57 Uhr
Transparent macht da also Sinn.
Da stimm' ich dir zu! Allerdings wird's dann halt nix mit CARP/VRRP :/

Ich nehme an das eingezeichnete "WAN" ist ein Switch?
Bitte warten ..
Ähnliche Inhalte
Netzwerke
Beratung Switch - 48x 1GB - 10GB Uplink
Frage von mr.pat.batemanNetzwerke16 Kommentare

Hallo, Ziel ist es, unser Netzwerk komplett auf 1GB Ports mit PoE+ umzustellen, damit es Sinn macht, sollten die ...

Switche und Hubs
Neuanschaffung GB Switch mit 10GB Uplink
gelöst Frage von ChontaSwitche und Hubs7 Kommentare

Hallo, kennt jemand von euch Das Geld ist leider mehr als Knapp, aber ich muss Netzwerksegmente verbinden, wo 1GB ...

Switche und Hubs

HP 2910al-48G Switch Redundant (Welche Einstellung?)

Frage von mksadmSwitche und Hubs26 Kommentare

Hallo Liebe Gemeinde, ich stehe vor der Aufgabe, 2 HP 2910 Switche redundant fahren zu lassen. Folgende Struktur: 2 ...

Netzwerkgrundlagen

Reicht 10GBit Uplink Port für Stacking für ein 10GBit Switch?

gelöst Frage von walnickNetzwerkgrundlagen12 Kommentare

Hallo, Ich habe eine frage. Ich überlege gerade 2 neue Switche von CiscoSG350XG-24F  zu kaufen und die als Core ...

Neue Wissensbeiträge
Humor (lol)

Funny: Warum es immer schwieriger wird, die richtigen Produkte online zu finden

Information von Dilbert-MD vor 40 MinutenHumor (lol)2 Kommentare

Wir befinden uns in der Rubrik "Off Topic - Humor" und in 15 Minuten ist Freitag. und ja, es ...

Windows Update
MS SQL Server Updates
Information von sabines vor 10 StundenWindows Update

Für 2012, 2014 und 2016 sind seit Dienstag wichtige Sicherheitsupdates verfügar, die eine remote, leicht auszunutzende Lücke im Reporting ...

Microsoft Office

Microsoft warnt: Office 365 am 29. Februar leider nicht nutzbar

Information von Lochkartenstanzer vor 23 StundenMicrosoft Office8 Kommentare

Moin, Wie die Überschrift schon sagt, gibt es offensichtlicham 29. februar ein Problem: Microsoft warnt: Office 365 am 29. ...

Netzwerkmanagement
Siemens Switche initial konfigurieren
Tipp von brammer vor 1 TagNetzwerkmanagement2 Kommentare

Hallo, Bisher gab es für Siemens Switche die Möglichkeit die initiale Konfiguration über den Simatic Manager oder das Primary ...

Heiß diskutierte Inhalte
Windows Server
Active Directory: Fehler beim Re-Promoten eines Servers
Frage von jordelWindows Server38 Kommentare

Hallo zusammen, Wir hatten einige Replikationsprobleme, weshalb ich gestern Nacht einen Domain Controller erst demoten und danach wieder promoten ...

PHP
Dynamisches Array erstellen in PHP
Frage von Xaero1982PHP21 Kommentare

Moin Zusammen, ich bräuchte mal einen Geistesblitz. Ich habe ganz viele Daten in einer MongoDb. Ich möchte diese Daten ...

Microsoft Office
Welches MS Office Lizensmodell für 7 Arbeitsplätze in kleinen Unternehmen
Frage von harbyadmMicrosoft Office20 Kommentare

Hallo, Ich frage Euch welches Lizensmodell das günstigste ist.? ich benötige für z.Zeit 7 ARBEITSPLÄTZE , alles Windows 8-10, ...

Windows 8
Die digitale Signatur dieser Datei kann nicht überprüft werden
Frage von LochkartenstanzerWindows 819 Kommentare

Moin, Seit gestern ärgere ich mich mit einem verkorksten Windows 8 herum. Bei vielen EXE-Dateien starten will, kommt die ...