а он грит значит, неизвестная ОС в девайса в этой группе

желательно еще файрволы поставить на разных площадках

Собрать из них кластер

с VPLS посредине

И хотеть active/active

Как?

Географиески-распределенный кластер?

Есть

с большим латенси

Только проблема не в этом

с VPLS посредине

пока есть такие запросы от энтов у аеспи есть работа

У фортинета на удивление стабильно работает. У нас вот тут такого добра дохуища :)

Проблема в том, что тебе надо ж все L2 до двух площадок дотянуть

А это уже адок

Плюс кросс-сайт трафик абсолютно неконтролируем

если вдруг active/active то вообще пиздец

Циско? Пало-Альто?

Фортик?

Но сам кластер у фортинета на удивление стабильно работает в таком сетапе

У фортинета на удивление стабильно работает. У нас вот тут такого добра дохуища :)

Да, сегодня отметил

Ребята тут хотели SRX5k в таком же сетапе собрать

Да, сегодня отметил

не сыпьте соль на рану..!

Я аж кофеем подавился, когда услышал

Самое интересное в такой кейсе - изоляция цода

сплит брейн

уу

Полный отрыв одной площадки, а фаервол при этом актив

Я почувствовал боль

Полный отрыв одной площадки, а фаервол при этом актив

Так если он изолирован, то и хуй с ним

Какая разница, что он там про себя думает?

Если трафик до него не ходит

Так если он изолирован, то и хуй с ним

Но на той площадке ещё же есть бордер с анонсом белых префиксов в мир

Ну это не называется изоляция

кстати, вот бывает регулярная трабла с бгп всеми любимым. получаем услугу l3vpn он нескольких крупных провайдеров, на стыке бгп, всё модно, всё работает. а в какой-то момент херак, и связи нету через канал, бгп не упал, анонсы приходят

ооооооо, моя любимая тема. регулярно такое. особенно радует когда так накрывается какой-нить бузнискритикал объект типа невстебенного склада. с.ка, основной драйвер перейти на какой-нить чудо-оверлей типа DMVPN

@narta годится? 50к арпов быстро выучит Hardware cisco Nexus9000 93180YC-EX chassis Intel(R) Xeon(R) CPU @ 1.80GHz with 24633824 kB of memory. Processor Board ID FDO21480UDU

Ну это не называется изоляция

Ну да

Изоляция, это когда его траншеекопатель по периметру объехал :)

Да проблема вообще не в кластере, так по большому-то счету

Проблема в том, что вся сеть вокруг этого превращася в говно

А сам кластер либо работает, либо не работает :)

И когда не работает, то виноват не тот, кто это придуман, а сеть

Потому что, например, на линке между мемберами дропы появились

:)

ооооооо, моя любимая тема. регулярно такое. особенно радует когда так накрывается какой-нить бузнискритикал объект типа невстебенного склада. с.ка, основной драйвер перейти на какой-нить чудо-оверлей типа DMVPN

вумный эсдиван нас спасёт

кстати, вот бывает регулярная трабла с бгп всеми любимым. получаем услугу l3vpn он нескольких крупных провайдеров, на стыке бгп, всё модно, всё работает. а в какой-то момент херак, и связи нету через канал, бгп не упал, анонсы приходят

Будто это только с BGP такое. Или только с L3VPN. В MX-е вон когда фабрика глючит, трафик тоже тупо дропается, хотя интерфейсы в апе, роутинг энжин работает, все ок.

вумный эсдиван нас спасёт

ну насчет сдван я конеш хз, но дмвпн проблему отчасти решает. если туннель ляжет, роутинг в него тоже ляжет, а не вот это вот все.

ну насчет сдван я конеш хз, но дмвпн проблему отчасти решает. если туннель ляжет, роутинг в него тоже ляжет, а не вот это вот все.

Тока DMVPN тут ни при чем :)

Это может быть и просто p2p тунель с динамик-роутингом поверх него (или даже без)

Тока DMVPN тут ни при чем :)

ну любой туннель, по большому счету

Только наивно думать, что это не подвержено той же проблеме )

tac_plus ждёт нищебродов!

ох уж эти ваши интеграторские шуточки

Ты никогда не видел фрагментирования в IPSec-е что ли?

Золотые слова, Максим Бенедиктович!

Ты никогда не видел фрагментирования в IPSec-е что ли?

случалось. но они и на L3VPN случалось, без всякого айписека. провайдер купил последнюю милю у чердак-телекома, а те при замене длинка на тплинка по своей программе экономии не учли что там мту дефолтный меньше чем нам бы хотелось, и превед.

ох уж эти ваши интеграторские шуточки

нет денег на enterprise софт - берёшь open source, напильник, слёзы. смешиваешь.

иначе очень редко бывает.

чтобы и open source, и не страдать.

да и без напильника.

случалось. но они и на L3VPN случалось, без всякого айписека. провайдер купил последнюю милю у чердак-телекома, а те при замене длинка на тплинка по своей программе экономии не учли что там мту дефолтный меньше чем нам бы хотелось, и превед.

О том и базар, что такой тип отказа (блекхол называется) очень много где может случиться, ни DMVPN, ни BGP тут особо ни при чем. И никакой SDWAN это тоже не исправит. Даже темная оптика — и та не всегда.

тунель отвалится и норм, резерв заработает

Ой, все

нет денег на enterprise софт - берёшь open source, напильник, слёзы. смешиваешь.

Это все вами придумывается, чтобы бабла содрать побольше

О том и базар, что такой тип отказа (блекхол называется) очень много где может случиться, ни DMVPN, ни BGP тут особо ни при чем. И никакой SDWAN это тоже не исправит. Даже темная оптика — и та не всегда.

от всего не застрахуешься. но опять же, полного блэкхола из-за кривых мту мы не видели, хоть что-то пролезало, можно было зайти на железку, потраблшутить, пинги погонять, канал положить проблемный, на худой конец. а вот с блэкхолом по вине провайдера - это все, аллес капут, как правило.

Это все вами придумывается, чтобы бабла содрать побольше

ну начинается.

Будто это только с BGP такое. Или только с L3VPN. В MX-е вон когда фабрика глючит, трафик тоже тупо дропается, хотя интерфейсы в апе, роутинг энжин работает, все ок.

Да да да, адок

от всего не застрахуешься. но опять же, полного блэкхола из-за кривых мту мы не видели, хоть что-то пролезало, можно было зайти на железку, потраблшутить, пинги погонять, канал положить проблемный, на худой конец. а вот с блэкхолом по вине провайдера - это все, аллес капут, как правило.

Ну блин. Когда ты уже зашел куда-то руками что-то траблшутить, то это уже финита ля комедия. Тебе, в общем-то в таком сценари никто не мешает положить линк с провайдером, что обычно и делают. Просто, я говорю, существует миллион сценарив с аналогичным поведением. Последний случай — вот недавно буквально перегрелась SFP-шка у клиента в файрволе. Линк в апе, бжп или я заыбыл, что там, ходит. А продакшен трафик на порту (привет, Илья) деградирует. Хоть ты десять туннелей подними сверху (собственно, у них там IPSec и был, который тоже не отваливался), ничем тебя это не спасет.

Ну в случае динамической маршрутизации в туннеле, есть шанс что она отвалится. Хотя не всегда конечно.

Ну в случае динамической маршрутизации в туннеле, есть шанс что она отвалится. Хотя не всегда конечно.

Неа, может не отвалиться

Неа, может не отвалиться

Чем утренняя сага закончилась?

Ну в случае динамической маршрутизации в туннеле, есть шанс что она отвалится. Хотя не всегда конечно.

Дык вроде начали с примера, когда BGP в норме, а трафик не ходит :)

угу

Ну в случае динамической маршрутизации в туннеле, есть шанс что она отвалится. Хотя не всегда конечно.

У меня сегодня была проблема, частично связанная с этим. 4 интерфейса, ecmp, lo0 PE1 виден в риб, фиб на P1, но, при этом, он не доступен конкретно через эту группу интерфейсов, потому-что в фиб часть интерфейсов стоит в hold (не смог отрезолвить адрес). Как мне объяснили, надо глянуть дефолт полиси, но я хочу поспать сегодня :)

Ну собственно, я, как настроивший и протраблшутивший в свое время, никак не меньше нескольких сотен IPSec-туннелей во всех возможных варианциях, ответственно заявляю, что случаев когда туннель в апе, а трафик не ходит, я видел примерно миллион

Чем утренняя сага закончилась?

Ну с утра мы запустились, FO долго восстанавливали, потому всё ок было. Причину завтра найду

Ну собственно, я, как настроивший и протраблшутивший в свое время, никак не меньше нескольких сотен IPSec-туннелей во всех возможных варианциях, ответственно заявляю, что случаев когда туннель в апе, а трафик не ходит, я видел примерно миллион

бывает да

Поставь acs

И крякни

а бфд там прикрутить

еще чего

а бфд там прикрутить

Между лупбеками P и PE?