das ist mir jetzt neu. Muss mal morgen meinen Dienstleister anhauen. Ich habe 2x HPE 5700 Flexfabrics als IRF Verbund im Corebereich und eigentlich mag ich das Comware OS von denen sehr gerne. Von EOL hat mir HPE nichts gesagt und sonst melden die sich bei jedem Mist bei mir (Insight, Infosight). Min 5 Jahre müssen die noch halten.
techlibrary.hpe.com
Unsere Netze sind schon recht Kleinteile segmentiert, daher findet vom Client zum Server oder Management schon ein Routing statt. Und wenn der switch das tut, kann die Firewall nicht User-Policy Based etwas zulassen oder blockieren. Oder doch? Nach dem Chinesenprinzip kann man das so machen. Intelligenter wäre es, die Regeln zu exportieren, zu transformieren und dann wieder zu importieren.
Warum sollte das nicht gehen? Du musst nur dafür sorgen, dass der Verkehr zwischen den Subnetzen 1x über die Firewall geht. Da gibt es mehrere Ansätze, einer wäre es, die Tabellen mittels VRF zu trennen und dann die Nutznetze so zu leiten, dass sie über die FW zu einem Vermittlungsnetz gehen, das routet dann erst zwischen den Netzen und damit kann die FW da eingreifen.Bzgl. des Routing und User-Based Policy: Indirekt schon.
Und jetzt spiel das Ganze mal durch, wenn du die Firewall ersetzt. Dann musst du nämlich nicht nur das Routing doppelt pflegen (so wie jetzt/getan), sondern auch die Regeln. Wer sonst nix zu tun hat, der mag das toll finden, andere hingegen wollen das schnell vom Tisch haben.Es klappt auch ganz gut, das Routing subnetz für subnetz umzustellen, natürlich nicht tagsüber, aber abends hats ganz gut geklappt.
...und braucht.
Da kommen wir an den Punkt, wo ich sagen würde: Mehr wird wahrscheinlich hier nicht gebraucht werden. Konstrukte mit zwei aktiven Controlplanes sind zwar schick, aber nicht jeder braucht diese hohe Verfügbarkeit.
Den würde ich auch nicht mehr empfehlen, sondern eher Richtung 8325 bzw. 8360 schauen. Letzteren gibt es als 16 Port Variante, aber der Preisrahmen dürfte etwas abseits der Vorstellungen des TE sein.
Laut Iris liegt der JL479A im Bundle aktuell bei 25043.- EUR. Ein 8360 mit 16 Ports bei 21036.- EUR. Der 6300M (JL685A) mit redundanten Netzteilen bei 18146.- EUR. Transceiver kämen in beiden Fällen noch oben drauf. Alles Listpreise und jeweils ein Switch...
Wir reden hier immer noch über eine Umgebung mit *drei* Hyper-V Hosts, die über jeweils 2x 10 GbE angeschlossen werden und wo eine Firewall das Routing übernimmt. Das VRF-Feature wird wahrcheinlich das gleiche Schicksal teilen, wie ca. 95% der restlichen Features: es wird mit hoher Wahrscheinlichkeit nicht genutzt.
Bei *großen* Strukturen: ja, da gebe ich Dir uneingeschränkt recht. Aber haben wir das im hier vorliegenden Fall?
Das ist hier in meinen Augen der wesentliche Punkt: Die genannten Designs und Aufbauten sind für entsprechende Umgebungen notwendig und sinnvoll, aber ich glaube hier schießt Du mit sehr großen Kanonen auf Spatzen.
Wenn ich mir den AFC und dessen Entwicklung ansehe, dann sollte man an dieser Stelle kurz abwarten und in einem Testaufbau dem CX 10000 erstmal auf den Zahn fühlen.EDIT:
Und wer es richtig fancy haben will, der kann den Aruba 10000 nehmen, der hat dann gleich ne Firewall mit dabei. Gibt es seit 1Monat....
Halten werden sie mit recht hoher Wahrscheinlichkeit, aber wahrscheinlich wirst Du ab 2025 keinen Support mehr erhalten.
Wenn die Arubakollegen keinen Mist erzählt haben, wird Comware auch ein Revival erfahren: ohne Trump ist Comware (theoretisch) wieder eine Option. Eine Roadmap für neue Switches gibt es auch.
Grundsätzlich würde ich das so nicht unterschreiben.
Nope, die Zeiten sind vorbei. Zumindest wenn du von x nach Fortinet gehen möchtest.
www.fortinet.com
Ja, die 83xx würde ich auch als Campus-/DC-Core nehmen, wenn es erforderlich ist. Aber der TE erweckt an der Stelle imho nicht den Anschein dafür das Geld und den Bedarf zu haben. Beides ist keine Abwertung des TEs, sondern eine Wertung der Anfrage und der genannten Switches.
Ob ich es wirklich die gleichen Probleme nennen würde, weiß ich nicht. Während die einen froh sind, dass sie endlich Vmotion/Lifemigration/etc. über 10 GbE machen können, gibt es andere die sich über Under-/Overlay Gedanken machen. Routing per se ist nichts schlimmes und mir in Teilen deutlich lieber als riesige L2-Domänen. Trotzdem muss es letztlich der Admin vor Ort beherrschen und jemand den Geldbeutel aufmachen.
Ich kenne auch Firmen mit entsprechenden Fabrics, die nur mit L2 laufen und deren Gateways auf externen Firewalls liegen. Häufig in dem Gedanken verhaftet, dass man das schon immer so gemacht hat.
Das ist auch Ansichtssache. Wobei ich inzwischen mit 2-3 3rd Party Anbietern schon gute Erfahrungen gemacht habe. Aber auch hier gibt es Kunden, die die Originale haben wollen.PS: Transceiver kauft man nicht bei/von Aruba.
Sie haben aber schon Marketingfolien!
Preislich gegen die Ciscolizenzen gerechnet ist das gar nicht sooo schmerzhaft, aber auch weit weg von billig. Abgesehen vom Preis finde ich eher die Funktionalität verbesserungswürdig bzw. es war gut sichtbar, welche Verbesserungen in den letzten Monaten immer wieder eingebracht wurden. Die hätte ich eigentlich von Anfang an erwartet.
Ich mag keine Überraschungen in dem Bereich: Es sind selten gute Neuigkeiten. Warten wir die ersten Modelle ab...
Clearpass ist kein Ersatz für eine Firewall, sondern "nur" ein aufgebohrter RADIUS-Server. Ansonsten tut es, was es im Rahmen von 802.1X tun soll.
Clearpass funktioniert recht gut, musst halt bei den Lizenzen aufpassen, was und wieviel Du haben willst. Ggfs. wäre der MS NPS noch eine Alternative: weniger Features, aber i.d.R. einfacher/schneller zu bekommen (wenn man denn eine MS Infrastruktur bei sich hat). Oder natürlich alle anderen Open Source Projekte, die RADIUS bieten.Das ist klar, aber es würde das sizing der Firewall beeinflussen.
Und die Switche natürlich auch. Bis jetzt fehlt uns so eine Lösung auch. Wobei ich dann am Cluster nicht einen anderen Hersteller einsetzen könnte.
