Tips til VPN router, lag2

[Hagforce]

Hei

 

Har noen lokasjoner som skal knyttes sammen.

Vil bruke VPN routere til dette.

 

Det kjøres mange "sære" protokoller over denne, så må ha noe som alt går igjennom (lag2 VPN).

 

Må også ha muligheten for mange samtidig VPN tuneller.

 

Kan være en litt dyrere hoved router på HQ som takler veldig mange tuneller, og rimeligere routere rundt om kring siden disse bare skal kobles til HQ.

 

Andre fordeler er selvfølgelig lite overhead, samt at de takler høy båndbredde.

 

Kom med tips!

[xcomiii]

Hvorfor ikke be din ISP om IP-VPN? mye enklere + at du får som regel høyere båndbredde enn om du skulle kjørt det selv over internett.

[Hagforce]

Hva er egentlig forskjellen på IP-VPN og "vanlig" VPN.....

 

Jeg vil nå egentlig sette dette opp selv, og det er flere ISP involvert etc....

Derfor vil jeg ha egene routere.

[sub1343]

som sagt over, be din isp om det, vist ikke så kan du bruke Cisco asa: http://www.cisco.com/en/US/products/ps6120/index.html

eller evt Check point FW

http://www.checkpoint.com

Men disse løsningene koster ma$$e

[Hagforce]

Som sagt er det flere ISP involvert (på forskjellige sites) og jeg vil helst sette dette opp selv.

 

Det må da finnes greie løsninger som ikke er i Cisco prisklasse?

[sub1343]

mulig pfsense kan gjøre denne jobben.

www.pfsense.org

hva har du av utstyr fra før? brannmurer, 2003 servere e.l?

[Hagforce]

Har 2003 server etc, men ingen brannmurer som kan kjøre VPN.

 

Hadde ikke tenkt å bruke en data maskin til dette, men routere.

 

IP VPN som en får hos isp er ikke dette også bare basert på routere på hver site?

Blir vel ikke noe forskjel om man setter dette opp selv?

[Roy_Pedersen]

Har 2003 server etc, men ingen brannmurer som kan kjøre VPN.

 

Hadde ikke tenkt å bruke en data maskin til dette, men routere.

 

IP VPN som en får hos isp er ikke dette også bare basert på routere på hver site?

Blir vel ikke noe forskjel om man setter dette opp selv?

8708480[/snapback]

 

 

Det finnes løsninger for dette.

Det ikke er så mange routere/brannmurer som takler L2 VPN, se litt på linkene til disse produsentene.

De har løsninger som kan løse problemet ditt

 

www.cisco.com

www.checkpoint.com

www.juniper.com

www.netasq.com

Endret 26. mai 2007 av Roy_Pedersen

[Hagforce]

Holder det ikke at routeren støtter L2TP eller L2TPv3?

Det er jo endel routere som støtter dette på markedet.

[ranvik]

http://www.hamachi.cc/ funker jo ipx og sånt over :-9 og du trenger ikke en server

[sub1343]

www.sofaware.com

Disse tror jeg støtter lag2 vpn, det er Checkpoint lite FWs

Send meg en pm om du ønsker tilbud på sånt utstyr Jeg jobber for en Cisco/Check point forhandler.

[Roy_Pedersen]

Holder det ikke at routeren støtter L2TP eller L2TPv3?

Det er jo endel routere som støtter dette på markedet.

8711061[/snapback]

 

 

det kommer jo litt ann på hvordan du skal koble dette opp samt hvilken type trafikk du tenker på.

 

Beskriv gjerne litt mer detaljert hva du tenker.

[spiffers]

Hva med m0n0wall? http://m0n0.ch/wall/features.php

[xcomiii]

Forskjellen mellom IP-VPN og tradisjonell VPN, er at VPN'et befinner seg i en ISP sitt nett og det er de som drifter dette. I tillegg har ISP'ene som regel flinkere folk som kan dette bedre enn vanlige datafolk, som har mye annet enn VPN å tenke på hver dag. De største har ofte dedikerte folk som designer og setter opp VPN'et.

 

De aller fleste større ISP'er tilbyr også linjer over hele landet, det er f.eks helt vanlig at Ventelo leier linjer av andre (Telenor, TDC, BaneTele osv) for å så kjøre trafikken flatt inn til de og så inn i VPN. Naturligvis kryptert fra ende til ende.

 

Fordelen er altså at du slipper å finne opp hjulet, for å få mange lokasjoner opp på VPN. I tillegg har du noen å klage til når det ikke virker, så blir det fikset av andre, mens du ta en kaffe.

 

Det kan være dyrere på kort sikt, men regner du med driftskostnader, design og implementering (som kan ta svært lang tid om du ikke er dreven i dette), så blir ofte totalen mindre enn om du skulle gjort det selv.

 

Både Cisco og Juniper har solide bokser om du ønsker å sette det opp selv.

[Hagforce]

xcomiii:

 

Hva mener du med at VPN`et befinner seg på ISP sitt nett?

 

En får vel bare bokser fra ISP satt opp med en vanlig VPN tunell, eller er det (IP-VPN) noe high tech, bruker de MPLS eller L2F som gir mindre overhead men er ukryptert?

 

Erfaringer jeg har er at det er lett å sett opp VPN tuneller, de krever ikke mye ettersyn og er svært stabile (altså burde ikke være store driftskostnader).

 

Roy_Pedersen

 

Dette skal brukes til "management" av switcher, routere, snmp etc av remote sites.

Broblemet er at ikke alt fungerer over tunellen jeg har i dag (vanlig IPsec).

 

Krav er at "alt" må gå over tunellen.

Minst mulig overhead

Høy båndbredde mulig (mange routere gir bare feks 4Mbps ved VPN)

Ikke premium pris (lite budsjett her dessverre)

 

Ser ut til at det kan bli vanskelig å få dette til uten dyrt utstyr

[ranvik]

jeg prøver i gjen : http://www.hamachi.cc/ det funker til smnp og sånt. til og med ipx funker over den. (det er gratis glemte jeg og si)

den krever litt cpu av pc'en siden den og bruker vpn-kryptering. men kan kjøres på alt av server/desktop pc'er osv..

[Roy_Pedersen]

xcomiii:

 

Hva mener du med at VPN`et befinner seg på ISP sitt nett?

 

En får vel bare bokser fra ISP satt opp med en vanlig VPN tunell, eller er det (IP-VPN) noe high tech, bruker de MPLS eller L2F som gir mindre overhead men er ukryptert?

 

Erfaringer jeg har er at det er lett å sett opp VPN tuneller, de krever ikke mye ettersyn og er svært stabile (altså burde ikke være store driftskostnader).

 

Roy_Pedersen

 

Dette skal brukes til "management" av switcher, routere, snmp etc av remote sites.

Broblemet er at ikke alt fungerer over tunellen jeg har i dag (vanlig IPsec).

 

Krav er at "alt" må gå over tunellen.

Minst mulig overhead

Høy båndbredde mulig (mange routere gir bare feks 4Mbps ved VPN)

Ikke premium pris (lite budsjett her dessverre)

 

Ser ut til at det kan bli vanskelig å få dette til uten dyrt utstyr 

8717969[/snapback]

 

Det er i utgangspunktet ikke noe i veien for å kjøre "all" trafikk gjennom en vpn tunell. Jeg bruker gtw2gtw og ipsec, og har ingen problem å få kjørt management etc gjennom vpn tunellene.

Hva som skal være tillatt å kjøres gjennom tunellen bestemmes av regeloppsettet i firewallen.

 

Ingen problem å finne utstyr som har minst 10 mb på vpn.

Premium pris... du får sjekke litt rundt etter priser, men du må nok regne med å betale ca 6000.- for en slik sak.

[xcomiii]

Nja, se på IP-VPN mer som en dedikert linje mellom avdelingene, som bruker vanlig infrastruktur (DSL, Fiber, Radio osv), men som er helt adskilt fra resten av kundene til ISP'en. I tillegg til at det er kryptert, vanligvis med IPSec.

MPLS brukes som regel kun i kjernenettet, det kan være du får dedikerte MPLS tunneller i kjernenettverket hos ISP'en.

 

Når det gjelder ytelse, så er det ytelsen på IP-VPN kun begrenset av hvilken aksess teknologi du bruker (DSL, Fiber), mens vanlig VPN ofte er begrenset av hardware på routeren. Spørs naturligvis hvor mye du trenger, men hvis du skal ha noen titalls Mb, så koster slike VPN routere svært mye. På jobben har vi levert opptil 1 Gb IP-VPN over fiber.

[Hagforce]

Hva tror dere om denne routeren http://www.draytek.no/produkter_vigor2910.htm

Har jo støtte for L2TP osv.