Wenn die Sophos außer Betrieb ist

Moin,

Wieviel ist Euch das Wert ode rkostet es euch, wen das ding ausfällt. ?

Es gibt viele Lösungsszenarien:

• Einen Raspberry Pi schnell anstöpseln und als reinen Router (und ggf als Content-Filter) dazwischenkellen. Die Anzahlder Ports kann durch USb erweitert werden.

• Ein passendes Alix-Board mit pfsense bereitlegen, um im Notfall die Sophos einfach zu ersetzen.

• Eine zweiite Spophos anschaffen.

• Auf die Sicherheit pfeifen udn alls direkt ans gateway klemmen.

• oder mal einen Tag ohne internet auskommen und schnell eine neue Sophos bestellen.

Es gibt noch viele andere Möglichkeiten, aber das ist wiegesagt, eine Optimierungsaufgabe der Kosten im Vorfeld gegen die Kosten im Problemfall.

lks

VRRP

Gruß

Moin,

wobei es mit der zweiten Sophos zwei Optionen gibt:
1. Beide im HA als Cold-Standby und dann räumlich trennen und das Life-Beat/ SYNC-Signal via VLAN ermöglichen
Vorteil: Ein AUsfall einer Box beschränkt sich auf wenige Sekunden (2-3 wenn es hoch kommt)
Nachteil: schießt du durch eine Fehlcofig einen Bock, ist der Bock auch auf der anderen Kiste, durch das Life-Sync

2. Beide im Standalone betreiben, dann müssen aber Änderungen zyklisch und manuell auch auf die andere Box übertragen werden.
Vorteil: zwei Autarke Systeme. ist das eine softwareseitig defekt/ strubbelig, ist die andere zunächst unberührt.
Nachteil: Config-Änderungen und Updates müssen immer manuell abgeglichen werden.
Hier könnte es aber ausreichen, zyklisch das Autobackup per Mail zusenden lassen und im Bedarfsfall die jüngste config auf nen USB-Stick und diesen vor dem Booten der UTM in dieselbige einstecken. Das erfordert es aber, dass immer beide auf dem gleichen Firmware-Stand sind


Wir haben ein Cold-Standby. Hat u.A. auch den Vorteil beim Firmware-Upgrades, dass es nahezu keinen Ausfall gibt (außer die og. 2-3 Sekunden) aber ansonsten keine Verluste


NACHTRAG: Je nach bestellter Subscription müsstet ihr doch ohnehin zwei Büchsen haben, oder nicht?
Zumindest, wenn man die FullGuard hat... Wobei es auch sein kann, dass unser DIenstleister proforma immer zwei GEräte direkt mit angeboten hat und ich das - aus Redundanzsicht - nie in Frage gestellt habe...

Gruß
em-pie

Wir hatten diesen Fall schon (HDD der Sophos war defekt).

Unser Netz hat allerdings DNS auch auf dem DC laufen so das die Server alle weiter liefen. Die User arbeiten auf Terminalservern, haben also lokal nur die eine Verbindung zum Server. Nur DHCP lief nicht und einzelne Clients hatten entsprechend Probleme den Terminal Server zu erreichen, da war dann manuelles Eingreifen erforderlich.

Sufen tuen wir über einen Proxy eines externen Anbieters, die VPN Verbindung dahin läuft auf einem eigenen Router, ich habe also das Gateway an den Terminal Servern ändern müssen (oder eine Route gesetzt, bin mir nicht mehr sicher), dann ging das auch weiter.

Unser Systempartner hat dann am selben Tag ein Ersatzgerät vorbei gebracht (das war allerdings kostenpflichtig) und ich hatte zum Glück eine Sicherung der Konfiguration.

Hi,


ich würde auch die Cold-Standby-Lösung (Active-Passive Cluster im Sophos-Jargon) empfehlen; ist letztlich HA mit minimaler Ausfallzeit (1-3 Sekunden).

Lizenz brauchst du nur für die aktive Appliance; somit hast du de facto nur Einmalkosten für das Standby-Gerät. Solltest du später mal mehr Leistung benötigen brauchst du keine größere Appliance sondern kannst beide als Active-Active betreiben.


Beschaffung am Besten über einen Sophos-Partner, da gibts dann auch Rabatte oder Projektpreise!


VRRP Unterstützt Sophos glaube ich nicht, da sie ein proprietäres HA-Protokoll verwenden. In der Praxis funktioniert das hier wunderbar (2x SG230 im Active-Passive).


mfg

Wir haben die Sophos auch im HA Verbund und funktioniert super . Alles schön Redundant verkabelt bis zum Hyper-V Cluster mit Backup Internet Leitung .

Hallo Hendrik,

du kannst mich auch dafür gerne mal anschreiben. Bzw lass uns da nächste Woche einfach mal telefonieren.

Viele Grüße,

Christian

Moin,
bitte beim Thema bleiben... und für diese Frage einen neuen Beitrag erstellen.


Gruß,
Dani

Ich würde die Geschichte auf die Spitze treiben und zwei Leitungen per Loadbalancer koppeln und zwei Bretter so syncen, das ohne Probleme eines ausfallen kann.

Allerdings weiß ich nicht, ob die Sophos dazu in der Lage ist. Desweiteren, ist diese Konstellation kostspielig.
Eben nur nötig wenn wirklich High Availability gefordert wird.

@Spirit-of-Eli
So wie ich das bisher verstanden habe, gibt's mehrere VLANs im Netzwerk und jeweils die Sophos ist das Gateway dafür. Daher kann ich seine Bedenken teilen. Neben einen Ausfall möchte auch gerne die aktuelle Firmware aufgespielt werden und wer macht schon gerne Abend/Nachtschichten... Bei der Redudanz der Internetabindung hast du ganz andere Herauforderungen als nur zwei Leitungen zu haben.


Gruß,
Dani

Ist alles eine Frage des Aufwandes und der Kosten gegenüber dem Nutzen. Nicht jede Hochverfügbarkeitslösung rechnet sich.

lks