Ну это у фортика вокруг стаки да кластеры, там другого не заложили )
Там хороший кластер, но тоже есть приколы
Kaparuz
Ilya
Dmitriy
Платформы в целом сильно разные и позиционирование их тоже
Сейчас выбрал в свич селекторе модульные ядровые свичи, 10 гб интерконнект - предлагают 9400 или 6807. Какой выбрать из них, если я хочу обновляться без перерывов сервиса ну и иметь наибольшую надёжность. С LEGACY дизайном и routed access. Остальные фишки не требуются.
Ilya
И evpn
Ilya
Dmitriy
Это вроде не циска. И в чем преимущество использования данной платформы?
Ilya
Это вроде не циска. И в чем преимущество использования данной платформы?
Да по сути они все коробки одинаковые. Сравнивать только если фичи конкретные
Ilya
У 9200 evpn рабочий, аналогичный с MX, у каталистов хз
Dmitriy
Есть ли смысл использовать его для повышения надёжности?
Ilya
Evpn это разве энтерпрайзная фишка?
Можно в большом кампусе сделать, где даже fusion/fex не хватает
Ilya
Есть ли смысл использовать его для повышения надёжности?
Зависит от платформы.
Control plane разнесен, нету spof, все рулится правилами bgp, это определенно надёжнее, чем stack, но для определенных платформ сочетание фич может быть ещё сырым, поэтому лучше провести POC с вендором
Dmitriy
И можно ли будет потом обнатываться vlan, если вдруг понадобится пр использовании evpn.
Ilya
https://forums.juniper.net/t5/Enterprise-Cloud-and/Evolve-Your-Campus-with-EVPN-VXLAN/ba-p/331269
Ilya
We are planning to roll out support for EVPN in some of our access switching lines. For example, the EX4300-48MP
Dmitriy
Зависит от платформы.
Control plane разнесен, нету spof, все рулится правилами bgp, это определенно надёжнее, чем stack, но для определенных платформ сочетание фич может быть ещё сырым, поэтому лучше провести POC с вендором
Ну хорошо возьмем за аксиому, что stack это зло. А чем evpn лучше чем нексусы и vpc?
Ilya
Ну хорошо возьмем за аксиому, что stack это зло. А чем evpn лучше чем нексусы и vpc?
vpc/mlag даёт возможность агрегировать lag с одной коробки на две (по сути просто синкает lacp system-id, у некоторых есть режимы работы и с простым etherchannel (без lacp) и с доп фишками для других протоколов).
Плюс EVPN в том, что если нужен роутинг дполнительно к l2, то с простым mlag/vpc будут ещё дополнительно FHRP протоколы (если не рассматривать evpn), опять же, не у всех можно сделать active/active в такой схеме.
EVPN позволяет уйти от FHRP, в некоторых случаях от mlag/vpc и сделать active/active.
В случае с кампусом, он просто даёт возможность уйти от FHRP
Dmitriy
vpc/mlag даёт возможность агрегировать lag с одной коробки на две (по сути просто синкает lacp system-id, у некоторых есть режимы работы и с простым etherchannel (без lacp) и с доп фишками для других протоколов).
Плюс EVPN в том, что если нужен роутинг дполнительно к l2, то с простым mlag/vpc будут ещё дополнительно FHRP протоколы (если не рассматривать evpn), опять же, не у всех можно сделать active/active в такой схеме.
EVPN позволяет уйти от FHRP, в некоторых случаях от mlag/vpc и сделать active/active.
В случае с кампусом, он просто даёт возможность уйти от FHRP
Можно ли сравнивать evpn с cisco sd access? Все же настраивать и траблшутить evpn немного посложнее чем стэк и роутед аксес.
Ilya
Можно ли сравнивать evpn с cisco sd access? Все же настраивать и траблшутить evpn немного посложнее чем стэк и роутед аксес.
Сложнее, да.
sd access не щупал, это наверное к @Sk1f3r
Dmitriy
Сложнее, да.
sd access не щупал, это наверное к @Sk1f3r
Просто на мой взгляд очень много фабрик сейчас появилось. У всех вендоров. Везде есть куча ограничений. Не будет ли пихание этих фабрик везде, стрельбой из пушки по воробьям? Или это уже 100 процентный мастхэв и без него никак не обойтись и все старые дизайны не работают и их на помойку?
Ilya
Просто на мой взгляд очень много фабрик сейчас появилось. У всех вендоров. Везде есть куча ограничений. Не будет ли пихание этих фабрик везде, стрельбой из пушки по воробьям? Или это уже 100 процентный мастхэв и без него никак не обойтись и все старые дизайны не работают и их на помойку?
Ну как обычно, бюджет больше влияет.
Фабрикой проще управлеть, есть более приятные тонкости в части роутинга и свитчинга, но дороже железо в цене и труднее траблшутить (дело опыта просто), на мой взгляд это так.
evpn как стандарт должен быть совместим с другими платформами и вендорами, когда vpc/mlag только внутри производителя можно сделать, за всё приходится платить)
Ilya
ну т.е., если бы у меня была возможность в выборе любого железа по цене и выбрать технологию в кампус, я бы скорее выбрал evpn vxlan central bridging
sexst
Настало время охуительных историй.
У клиента одной компании был запилен простенький мониторинг доступности его сайта где-то на Амазоне. Просто скриптик по крону пытался скачать страницу и ругался если не мог.
Ругался со стабильным интервалом в ~23 часа несколько минут подряд.
И знаете что?
NE40 на бордере этой компании дропает трафик, который приходит с паблика если это tcp ack с 80 порта на определенный диапазон из 8 подряд идущих портов у клиентов компании. А у конкретно этого клиента линух и сокет для скрипта по кругу перебирал стандартный диапазон под исходящие коннекты по очереди.
Я охуел короче с таких раскладов.
sexst
Аккурат раз в 23 часа он снова попадал на эти восемь подряд идущих портов
sexst
Dmitriy
ну т.е., если бы у меня была возможность в выборе любого железа по цене и выбрать технологию в кампус, я бы скорее выбрал evpn vxlan central bridging
Благодарю за информацию. Лень конечно изучать, но фабрики решают многие насущные вопросы. Нужно будет ещё определиться чья фабрика лучше. Ну и контроллеры наверное не помешали бы здесь.
Ilya
Dmitriy
Ручками это хозяйство нет желания настраивать. Все же гуй это хорошо.
Коммутаторы EVPN используют программный метод обучения MAC адресов на базе обмена BGP сообщениями, после появления нового MAC адреса на порту доступа выполняется синхронизация таблиц коммутации по всей сети - ЭТО ЖЕ ВОЛШЕБСТВО.
Sergey
Sergey
xe-2/0/3 учавствует в evpn или он только докинут в bd?
Воткнут в бридж.
instance-type virtual-switch;
route-distinguisher 10.0.0.1:1002;
vrf-target target:65100:1002;
protocols {
evpn {
extended-vlan-list [ 100-103 106 ];
}
}
bridge-domains {
V-100 {
domain-type bridge;
vlan-id 100;
interface xe-2/0/3.100;
interface ae0.100;
routing-interface irb.100;
}
Ilya
Воткнут в бридж.
instance-type virtual-switch;
route-distinguisher 10.0.0.1:1002;
vrf-target target:65100:1002;
protocols {
evpn {
extended-vlan-list [ 100-103 106 ];
}
}
bridge-domains {
V-100 {
domain-type bridge;
vlan-id 100;
interface xe-2/0/3.100;
interface ae0.100;
routing-interface irb.100;
}
В show bridge domain extensive виден интерфейс xe-2/0/3?
Я глянул конфиг, конечно врядли оно, но у меня через bridge-options задан интерфейс в контексте BD bd-name
Alexander
ну че на Palo Alto A/A рабит как пушка просто, правда с NAT PAT (overload/маскарадинг) есть прикол в том что надо делать 2 float ip на WAN и цеплять на каждую ноду в качестве активного и делать 2 правила NAT
Alexander
чувствую всякие приложения аля сбер онлайн будут видеть спуфинг если больше одной сессии будет
Alexander
а вот static nat можно сразу балансить между нодами или привязывать сессии к праймари
Ilya
Воткнут в бридж.
instance-type virtual-switch;
route-distinguisher 10.0.0.1:1002;
vrf-target target:65100:1002;
protocols {
evpn {
extended-vlan-list [ 100-103 106 ];
}
}
bridge-domains {
V-100 {
domain-type bridge;
vlan-id 100;
interface xe-2/0/3.100;
interface ae0.100;
routing-interface irb.100;
}
А и ещё, тут в выводе отдельный bd от ri или bd создан внутри ri?
Ilya
show routing-instances
evpna {
instance-type virtual-switch;
interface ge-0/1/4.0;
interface ge-0/1/4.1;
route-distinguisher 10.255.169.37:1;
vrf-target target:100:1;
protocols {
evpn {
extended-vlan-list [ 10 20 ];
}
}
bridge-domains {
bda {
domain-type bridge;
vlan-id 10;
routing-interface irb.0;
bridge-options {
interface ge-0/1/4.0;
}
}
bdb {
domain-type bridge;
vlan-id 20;
routing-interface irb.1;
bridge-options {
interface ge-0/1/4.1;
}
}
}
}
Ilya
https://www.juniper.net/documentation/en_US/junos/topics/reference/configuration-statement/bridge-options-edit-bridge-domains.html
https://www.juniper.net/documentation/en_US/junos/topics/reference/configuration-statement/interface-edit-bridge-domains.html
Max
Сейчас выбрал в свич селекторе модульные ядровые свичи, 10 гб интерконнект - предлагают 9400 или 6807. Какой выбрать из них, если я хочу обновляться без перерывов сервиса ну и иметь наибольшую надёжность. С LEGACY дизайном и routed access. Остальные фишки не требуются.
Если обновляться без перерыва, то очевидно что-то без шаренного контролплейна, а по фичам нужно по фиченавигатору проверить. Опять же все зависит от бюджета сейчас 9к можно по хорошей цене купить. А по части выбора вендора это как с линуксом, что умеешь ковырять и настраивать лучше, то и бери
Alexander
Сейчас выбрал в свич селекторе модульные ядровые свичи, 10 гб интерконнект - предлагают 9400 или 6807. Какой выбрать из них, если я хочу обновляться без перерывов сервиса ну и иметь наибольшую надёжность. С LEGACY дизайном и routed access. Остальные фишки не требуются.
9400 это акцесс с дикой переподпиской
Alexander
из 9К вроде нет модульных сейчас, только 9500 фикс.
Uncel
>сливаю mmr
Uncel
Так и скажи сетку обучаешь
Uncel
Uncel
Сами себе злобные буратины
Uncel
Сначала торгуешь трафиком
Uncel
Филс гут
Uncel
Потом строишь чебурнет
Uncel
Адсенс чет не доступен, доходов от рекламы нет
Uncel
Зрада @ Зрада
Sergey
show routing-instances
evpna {
instance-type virtual-switch;
interface ge-0/1/4.0;
interface ge-0/1/4.1;
route-distinguisher 10.255.169.37:1;
vrf-target target:100:1;
protocols {
evpn {
extended-vlan-list [ 10 20 ];
}
}
bridge-domains {
bda {
domain-type bridge;
vlan-id 10;
routing-interface irb.0;
bridge-options {
interface ge-0/1/4.0;
}
}
bdb {
domain-type bridge;
vlan-id 20;
routing-interface irb.1;
bridge-options {
interface ge-0/1/4.1;
}
}
}
}
тут я так понимаю на юните family ethernet-switching?
Uncel
Не стоит вскрывать эту тему
Alexander
оно даже на сайте глухо
Alexander
а не, во...
Alexander
https://www.cisco.com/c/en/us/products/collateral/switches/catalyst-9600-series-switches/nb-06-cat9600-series-data-sheet-cte-en.html
Dmitriy
Вот и ответ. Выкидываем 6807 на помойку, берём 9606, покупаем подписки и радуемся.
Alexander
Вот и ответ. Выкидываем 6807 на помойку, берём 9606, покупаем подписки и радуемся.
через пол года/год будет доступно в РФ, ну и удачи на 16.11)
ntwrk_bot
Добро пожаловать! Ознакомиться с правилами группы можно по ссылке.
Evgeniy
про фиб кстати чот нету инфы по ссылке
Oleg
аварий куча
Oleg
все на летней резине
Oleg
я еще на зимней, но решил поехать на маршрутке