[patrikweb]

Ursprungligen postat av Vladi

Japp, CARP kör failover, den delar typ på MAC-adressen mellan två andra IP. Jag brukar kombinera den ovanpå vanlig port-trunkning dessutom. Mycket innovativt. HSRP är föråldrad och propritär IETF-teknik, som mest Cisco älskar.

HSRP, VRRP, CARP is same shit I princip...

[Vladi]

Ursprungligen postat av patrikweb

HSRP, VRRP, CARP is same shit I princip...

NEJ tyvärr är det inte det. HSRP är gammalt skräp som i princip enbar CISCO kör, VRRP är protokollet man ser i tcpdumpen, CARP använder samma protokoll ID men helt egen implementation som är betydligt bättre och är fristående dessutom utan patent inblandade.

[patrikweb]

Ursprungligen postat av Vladi

NEJ tyvärr är det inte det. HSRP är gammalt skräp som i princip enbar CISCO kör, VRRP är protokollet man ser i tcpdumpen, CARP använder samma protokoll ID men helt egen implementation som är betydligt bättre och är fristående dessutom utan patent inblandade.

Bygger på samma princip, HSRP har lite mer extra än VRRP även om Cisco stöder VRRP för vara kompatibel med icke Cisco saker.

Så föredrar köra riktiga saker i nät före köra det på en server. Men skulle även försökt undvika HSRP/VRRP/CARP helt för bygga redundans utan köra på andra sätt för garantera mindre möjliga problem.

[Vladi]

Ursprungligen postat av patrikweb

Bygger på samma princip, HSRP har lite mer extra än VRRP även om Cisco stöder VRRP för vara kompatibel med icke Cisco saker.

Så föredrar köra riktiga saker i nät före köra det på en server. Men skulle även försökt undvika HSRP/VRRP/CARP helt för bygga redundans utan köra på andra sätt för garantera mindre möjliga problem.

Well, om du betalar kostnaden för "de riktiga grejer", byte av 2 st pizzakartonger med 8st Gigabitinterface OpenBSD som sköter routning och VPN åt mig, så blir jag jätteglad.

HSRP är komersiella dumheter som alla inte behöver, du måste blanda inte BGP routning för failover, helt onödigt. VRRP räcker gott och väl för sina egna servrar i datorhallen som front mot nätleverantören.

Jag får tyvärr inte samma funktionalitet med Cisco ASA (antar jag du jämför med) än vad jag får med en OpenBSD filtrerande routerbrandvägg.

Stödja Cisco är att ge upp och inte använda sin fantastiska kreativa förmåga.

[patrikweb]

Jag föredrar antingen Stackwise eller VSS, alternativt L3 lösning med OSPF i IGP.

Fast BGP är med effektiv lösning om man har eget IP space.

Sedan personligen gillar jag normalt inte ha rena FW burkar framför saker.

Ursprungligen postat av Vladi

Well, om du betalar kostnaden för "de riktiga grejer", byte av 2 st pizzakartonger med 8st Gigabitinterface OpenBSD som sköter routning och VPN åt mig, så blir jag jätteglad.

HSRP är komersiella dumheter som alla inte behöver, du måste blanda inte BGP routning för failover, helt onödigt. VRRP räcker gott och väl för sina egna servrar i datorhallen som front mot nätleverantören.

Jag får tyvärr inte samma funktionalitet med Cisco ASA (antar jag du jämför med) än vad jag får med en OpenBSD filtrerande routerbrandvägg.

Stödja Cisco är att ge upp och inte använda sin fantastiska kreativa förmåga.

[Vladi]

Ursprungligen postat av patrikweb

Sedan personligen gillar jag normalt inte ha rena FW burkar framför saker.

Åhååå, säger snubbe som inte jobbat så mycket som devops? =)

du menar iptables på resp. maskin är bättre?

vad säger du om rate-limit på ssh-anslutning -> svartlistning gentemot hela miljö som router hanterar? Fortfarande inte bra med rena FW burkar?

[patrikweb]

Ursprungligen postat av Vladi

Åhååå, säger snubbe som inte jobbat så mycket som devops? =)

du menar iptables på resp. maskin är bättre?

vad säger du om rate-limit på ssh-anslutning -> svartlistning gentemot hela miljö som router hanterar? Fortfarande inte bra med rena FW burkar?

Det är väldigt simpla standard saker du klarar utan separat FW, standard Cisco saker med ACL och QoS klarar dom simpla standard saker.

Du kan även ha en separat analyser som får all trafik via SPAN eller Netflow som kan hantera separata svartlist eller bygga regler.

Eller ja iptables klarar även dom sakerna om man nu vill använda det istället.

Sedan låter det lita udda om du använder en FW för bara rate-limit SSH istället för använda det för blockera SSH från hela världen.

Då skulle jag nog föredrar fail2ban istället.