Netwerk architectuur.

[Beyonder]

Voor een klant zijn wij bezig een netwerk te ontwerpen (redundant met firewalls), ik dacht zelf aan de volgende layout.

Carriers naar eigen AS ----> Aangesloten aan twee routers redundant ---> Firewalls -----> Switches ----> Servers

Echter heb ik van een adviesbureau de volgende opstelling als voorbeeld gekregen als meest ideale opstelling:

Elke carrier aansluiting EIGEN router en eigen firewall.

Elke router en firewall tevens verbonden met tweede netwerk waarvanuit management voor router en firewall gedaan wordt middels SSH.

In het tweede voorbeeld zou een DDOS aanval of hack attempt beter te ondervangen zijn, maar is het zinvol om echt voor elke uplink een eigen router in te zetten?

Voorbeeld:


AMS-IX ---> Router1-----> Firewall ----> Coreswitch
Carrier#1 ----> Router2 ----> Firewall ----> Coreswitch
Carrier#2 ------> Router3 ---> Firewall -----> Coreswitch
Etc

In dit geval zou dan ook de routers en firewalls voorzien zijn van tweede connectie met een geheel ander netwerk om management te doen voor de apparatuur.

[luser]

Zou een beetje duur worden, moet echt het ganse netwerk achter de firewalls?

[Beyonder]

Budget is even relatief onbelangrijk, ik vraag me af of dit een goede netwerk setup is ;)

Ja het hele netwerk moet achter firewalls. In dit geval is gekozen voor firewalls van Riverhead.

[luser]

Voordeel aan de setup van het adviesbureau is dat je firewalls niet zo zwaar belast worden, maar opzich wat onnuttig, gewoon wat dikke firewalls tussen de routers en de coreswitches moet voldoen denkik, afh van de traffic die er door moet lopen offcourse.

[Pur]

Waarom zou het bij een DOS makkelijkerer te ondervangen zijn?

De ip's blijven aan het eind toch gelijk dus of het verkeer nou via router 1 of 2 binnenkomt. Binnenkomen doet het toch wel.

Maar goed ben geen netwerk man :)

[Beyonder]

Riverheads zijn speciaal ontworpen tegen DDOS aanvallen. Zolang je inkomende lijn groot genoeg is heeft het achterliggende netwerk totaal geen last van de DDOS.

[frankske]

mja, vergeet statefull firewalling met meerdere routers (ik veronderstel dat je vrrp/carp op je interne interfaces van je routers draait?). Enkel de bsd's met hun pfsync kunnen dat een beetje deftig, met alle andere firewalls ben je veroordeeld tot klassieke non-statefull firewalling.

Los daarvan ziet dat er wel goed uit. Of je nu per carrier een nieuwe router/firewall moet nemen, dat zou ik niet zeggen, misschien zijn 2 genoeg, moet je er geen 3 hebben.