Re: Polityka bezpieczeństwa PWR PLIX vs niezawodność i wygoda.

On 18 Sty, 19:17, nastach <n...@plix.pl> wrote:
> On 18 Sty, 19:01, "free...@o2.pl" <free...@o2.pl> wrote:
>
>
>
>
>
>
>
>
>
> > On 18 Sty, 16:07, Sławek Lipowski <sla...@lipowski.org> wrote:
>
> > > Witam,
>
> > > Na początku postaram się przedstawić ogólny zarys problemu, później
> > > przejdę do konkretów. No to lecimy...
>
> > > Dawno dawno temu klient miał ruter na Debianie z Quagga. Dowolna jego
> > > awaria to był pad Internetu. Jakakolwiek prace przy nim musiała być
> > > planowana na godziny nocne, ponieważ wiązały się z pewnym lub
> > > ewentualnym padem dostępu do Internetu.
>
> > > Problem skończył się, gdy maszyna ta została zastąpiona przez dwie
> > > maszyny z Quaggą. Do każdego dostawcy są przynajmniej dwie sesje z dwóch
> > > różnych IP stykowych, jest iBGP między maszynami, jako next hop na
> > > wszystkich sesjiach BGP do danego dostawcy rozgłaszany jest IP różny od
> > > tych, z których zestawiane są sesje, i to IP migruje między maszynami
> > > dzięki VRRP (keepalived). Do tego momentu wszystko jest cacy. Można
> > > serwisować maszynę wyłączając ją całkowicie, zestaw jest odporny na pad
> > > jednej z maszyn.
>
> > > Kilka dni temu pojawił się wątek podpięcia tego układu do PLIXa i
> > > spotkaliśmy się ze ścianą. Podobnie jak u wszystkich dostawców,
> > > poprosiliśmy o trzy IPki z klasy stykowej, możliwość spięcia sesji BGP z
> > > dwóch z nich i rozgłoszenia trzeciego jako next hop. W odpowiedzi
> > > dowiedzieliśmy się, że pojedynczy port w PLIX to ze względów
> > > bezpieczeństwa jedno IP i jeden adres MAC.
>
> > > Stały i pojedynczy adres MAC generuje problem chociażby z VRRP w
> > > keepalived (brak vmac). Ponadto trzeba by było migrować między maszynami
> > > nie tylko IP i MAC, ale także i sesje BGP. Zależy nam, żeby przełączenie
> > > się maszyn nie powodowało zrywania wszystkich sesji BGP z PLIXem.
>
> > > Z AC-Xem spięliśmy się w ten sposób bez problemu. PLIX zaproponował
> > > zakupienie 3 portów, żeby mieć 3 adresy IP...
>
> > > Macie jakieś pomysły, jak to rozwiązać bez generowania nieuzasadnionych
> > > kosztów? Chcielibyśmy zachować możliwość położenia jednej (dowolnej) z
> > > maszyn bez degradacji ruchu.
>
> > > --
> > > Sławomir Lipowskihttp://lipowski.org
>
> > Sądząc po informacji od Sylwestra rozwiązaniem może być dołączenie do
> > jakiegoś dużego partnera - może do nowego punktu wymiany TPSA? - jak
> > nie teraz to za 6mc.
> > Pozdrawiam
> > Rafał Jackiewicz
>
> Wydaje mi się że w TPIX sprawa będzie wyglądała tak samo, ale
> mogę się mylić ;-)) Robercie ?
> Tak czy inaczej PLIX nie jest jedynym punktem wymiany ruchu w naszym
> kraju więc można przebierać.
>
> Pozdrawiam

Polecam:

http://www.tp.pl/b/binaries/PL/358503/_Oferta_TPIX_367107190.pdf

"W ramach jednego Kanału VLAN do Open peering dopuszczany jest jeden
adres MAC
(jedno Urządzenie Operatora). Ramki wysyłane w ramach jednego Kanału
VLAN do Open
peering powinny mieć ten sam adres źródłowy MAC. Dopuszczalne są
oddzielne adresy
MAC dla urządzeń obsługujących protokoły IPv4 oraz IPv6 po uzgodnieniu
z TP. "
Received on Tue Jan 18 19:25:02 2011