Re: Polityka bezpieczeństwa PWR PLIX vs niezawodność i wygoda.

Dnia 18.01.2011 Sławek Lipowski <slawek@lipowski.org> napisał/a:
> Dawno dawno temu klient miał ruter na Debianie z Quagga. Dowolna jego
> awaria to był pad Internetu. Jakakolwiek prace przy nim musiała być
> planowana na godziny nocne, ponieważ wiązały się z pewnym lub
> ewentualnym padem dostępu do Internetu.
>
> Problem skończył się, gdy maszyna ta została zastąpiona przez dwie
> maszyny z Quaggą. Do każdego dostawcy są przynajmniej dwie sesje z dwóch
> różnych IP stykowych, jest iBGP między maszynami, jako next hop na
> wszystkich sesjiach BGP do danego dostawcy rozgłaszany jest IP różny od
> tych, z których zestawiane są sesje, i to IP migruje między maszynami
> dzięki VRRP (keepalived). Do tego momentu wszystko jest cacy. Można
> serwisować maszynę wyłączając ją całkowicie, zestaw jest odporny na pad
> jednej z maszyn.
>
> Kilka dni temu pojawił się wątek podpięcia tego układu do PLIXa i
> spotkaliśmy się ze ścianą. Podobnie jak u wszystkich dostawców,
> poprosiliśmy o trzy IPki z klasy stykowej, możliwość spięcia sesji BGP z
> dwóch z nich i rozgłoszenia trzeciego jako next hop. W odpowiedzi
> dowiedzieliśmy się, że pojedynczy port w PLIX to ze względów
> bezpieczeństwa jedno IP i jeden adres MAC.
Ja to powiem tak.

Jestem w podobnej sytuacji. 2 routery na linuksie, z quagga. Co prawda inna
dystrybucja, ale to znaczenia nie ma. Kilka lacz, w tym 2 IX-y.

Przez dlugi czas zastanawialem sie czy nie zaprzac do tego wszystkiego vrrp.
Ale doszedlem do wniosku ze pomysl jest bez sensu.

Bo przeciez:
- moje routerki nie padaja. Zbyt czesto.
- lacza ktore mam nie padaja. Zbyt czesto.

Jak lacze padnie - na drugim routerze musze zapewnic dzialanie calej sieci. Jak
nie zapewnie - jest zonk. Jak router padnie - jak wyzej. Przy czym pad lacza
zdarza sie czesciej niz pad routera. Jak router pada - to go wymieniam by nie
padal. A prace serwisowe poprzedzam ip neigh XXX shutdown ;)

W ten sam sposob zakladam ze plix, jako kolejne moje lacze moze pasc. I
nieplanowany pad plixa zdarzy sie czesciej niz nieplanowany pad mojego routera.
Wiec - zabawy w vrrp u mnie na styku do plixa maja sredni sens.

A teraz spojrzmy z drugiej strony. Chlopaki z PLIX-a staraja sie utrzymac
dzialanie PLIX-a. Dopuszczanie do tego by klient zaczal im siac kilkoma macami
- moze doprowadzic do tego ze zrobi jakas brzydka petelke - ergo plix
przestanie dzialac. I dla mnie, jako zadowolonego klienta plixa, ktorym
otrzymuje obecnie jakies 35% ruchu bardziej liczy sie to ze ten ruch bedzie
"prawie zawsze" niz to ze plix bedzie miec jednego klienta wiecej ktory
podwyzszy moj download na plixie o 1%.

> Z AC-Xem spięliśmy się w ten sposób bez problemu. PLIX zaproponował
> zakupienie 3 portów, żeby mieć 3 adresy IP...
acx w l3? czy l2? Jezeli l3 - ma zasieg lokalny przeciez. Wiec potencjalny
problem by dotyczyl tylko Twojego wezla.

> Macie jakieś pomysły, jak to rozwiązać bez generowania nieuzasadnionych
> kosztów? Chcielibyśmy zachować możliwość położenia jednej (dowolnej) z
> maszyn bez degradacji ruchu.
moze wsadzic osobny router w plixie? jakas puszke 1U zdolna uciagnac ruch jaki
macie do plixa - a miedzy nim a Twoimi dwoma routerami bawic sie w ulepszanie
bgp? :)

-- 
Andrzej 'The Undefined' Dopierała
HomePage: http://andrzej.dopierala.name/
Reprezentuję siebie i wyrażam tylko moje zdanie!