Onderwerp: VMware Appliance Firewall met active / passive

ik ben op zoek naar een VMware Appliance die ik kan draaien als firrewall met evt active / passive cluster.

Wil graag op 3 ESXi server een instance hebben draaien, en mocht een van de ESX server uitvallen / een reboot nodig hebben kan de andere FW het over nemen (Free ESXi, dus geen HA of vMotion voor handen)

Nu zag ik wel pfSense in CARP setup, maar is me niet duidelijk of het met meerder machines supported is, en of er ervaring meer is in een datacenter.

mag ook een betaalde variant zijn, open-source met goede interface heeft de voorkeur.

Kijk's naar Vyatta.

dat is inderdaad een goeie
het inrichten op de CLI is geen probleem
echter het beheer op de CLI (wordt door de beheerder gedaan) is minder makkelijk van Vyatta

iemand ervaring met pfSense i.c.m. CARP?

Ik heb 2x pfSense draaien op twee verschillende vmware servers (de gratis versie). Beide servers hangen aan hetzelfde netwerk en hebben via carp meerdere virtuele ip's.

Bij het herstarten van 1 van de pfsense machines merk ik eigenlijk niet eens dat ik hem herstart. Dit is ook zo als ik de op dat moment actieve firewall restart. Het virtuele ip adres op de carp interface is altijd maar op 1 machine actief.

Failover bij een gewone restart gaat dus goed (is mijn beleving). Een rdp of ssh sessie wordt bijvoorrbeeld niet verbroken.

Ik ben er erg tevreden over. Het is bijvoorbeeld ook zo dat als je ze goed koppelt, de configuratie van bijvoorbeeld de firewall automatisch gekopieerd wordt naar je stand-by firewall.

Het enige wat ik (nog) niet redundant krijg (automatisch) zijn de SSL tunnels.

Oorspronkelijk geplaatst door JochemKuijpers

Ik heb 2x pfSense draaien op twee verschillende vmware servers (de gratis versie). Beide servers hangen aan hetzelfde netwerk en hebben via carp meerdere virtuele ip's.

Bij het herstarten van 1 van de pfsense machines merk ik eigenlijk niet eens dat ik hem herstart. Dit is ook zo als ik de op dat moment actieve firewall restart. Het virtuele ip adres op de carp interface is altijd maar op 1 machine actief.

Failover bij een gewone restart gaat dus goed (is mijn beleving). Een rdp of ssh sessie wordt bijvoorrbeeld niet verbroken.

Ik ben er erg tevreden over. Het is bijvoorbeeld ook zo dat als je ze goed koppelt, de configuratie van bijvoorbeeld de firewall automatisch gekopieerd wordt naar je stand-by firewall.

Het enige wat ik (nog) niet redundant krijg (automatisch) zijn de SSL tunnels.

met die virtuele CARP adressen kun je verder alles, NAT / PAT / IPSECVPN ?
wat bedoel je de SSL tunnel moet je opnieuw opbouwen?
wilde het ook met 3 ESX servers met de gratis versie gaan doen

Met de virtuele CARP adressen kan ik verder inderdaad alles, NAT / PAT / IPSECVPN.

De IPSEC SSL VPN kan ik echter maar vanaf 1 firewall actief hebben. Deze gaat om de een of andere reden niet mee in de failover, of in het kopieeren van de configuratie tussen de twee firewalls. Ik heb de ipsec tunnels dus op beide firewalls aangemaakt. Bij het overschakelen activeer ik met de hand te tunnel op de stand bye firewall.

De tunnels lopen bij mij wel op een CARP adres. Als de tunnel op beide firewalls aanstaat gaan beide firewalls proberen de tunnel op te bouwen. Dat geeft vreemde effecten :-) Waarom dat dat zo werkt weet ik (nog) niet. De carp interface staat immers niet actief op de stand bye firewall.

Met 3 servers heb ik geen ervaring. Geen idee hoe je dan de volgorde van failover doet. Gewoon proberen zou ik zeggen :-)

Oorspronkelijk geplaatst door LightMan

wilde het ook met 3 ESX servers met de gratis versie gaan doen

Dit doe je illegaal, je mag namelijk niet hosten op ESXi hiervoor heeft VMware het VSPP programma.

Oorspronkelijk geplaatst door Unixboy

Dit doe je illegaal, je mag namelijk niet hosten op ESXi hiervoor heeft VMware het VSPP programma.

Waar staat dat hij op ESXi gaat hosten? Als alles wat op die machines draait voor interne productie is, dan is het volgens mij toegestaan.

Stel dat er bijvoorbeeld monitoring en registratie van bedrijfsprocessen op verschillende virtuele servers op staat. Deze servers monitoren en registreren interne bedrijfsprocessen. Lijkt me geen enkel probleem (licentie technisch).

Als je de hele zooi dan redundant bereikbaar wil hebben door op deze manier meerdere failover firewalls in te richten. Lijkt me ook geen probleem.

Verhuren van virtual machines aan derden mag niet met de gratis versie. Maar ik maak nergens uit het verhaal van TS op dat dat zijn bedoeling is.

Ik heb ook verschillende pfSense-setups met CARP in gebruik. Het werkt echt goed en stabiel, alleen moet je het volgende weten:
* CARP dient voor het failover-ip-adres tussen de 2 machines
* Er is een mechanisme voorzien dat firewall rules, routes, NAT, state-tabellen e.d. synchroniseert tussen de machines
* Dat mechanisme werkt NIET voor services zoals dhcp, tunnels, eventuele packages als proxyservers, ... Die moet je handmatig op beide machines aanmaken en op de actieve machine aanzetten en uitzetten op de andere.

Als je dat weet en je kan leven met die beperkingen, is het een heel mooi product. Werkt ook evengoed op een vmware, inclusief vlans moest je daarmee willen werken.

Peter

Oorspronkelijk geplaatst door JochemKuijpers

Stel dat er bijvoorbeeld monitoring en registratie van bedrijfsprocessen op verschillende virtuele servers op staat. Deze servers monitoren en registreren interne bedrijfsprocessen. Lijkt me geen enkel probleem (licentie technisch).

VMware (sales) stelt anders; Gebruik in datacenters is verboden, dat vond ik een erg vreemde redenering gezien je dan altijd fout zou zitten als je het maar gebruikt in het datacenter.

Oorspronkelijk geplaatst door JochemKuijpers

Verhuren van virtual machines aan derden mag niet met de gratis versie. Maar ik maak nergens uit het verhaal van TS op dat dat zijn bedoeling is.

Nu dit ook nog gebeurd, heeft VMware daar ook voldoende te doen. Dat klopt, was vriendschappelijke waarschuwing niet dat ik een mailtje aan het sturen was naar hun legal afdeling.