VPN über 2 gebündelte Internetleitungen

[Maniska]

Hallo zusammen,

ich bin mir nicht ganz sicher ob ich nicht im Bereich Netzwerke besser aufgehoben wäre, aber da hauptsächlich das VPN das Problem wäre, versuch ich es mal hier.

Aktuell planen wir unseren zweiten Standort, und versuchen dort die benötigte Bandbreite zu ermitteln und die benötigten Ressourcen zu planen. zudem wollen wir - zumindest teilweise - unser Backup dort hin replizieren. Laut unserem Dienstleister benötigen wir hierzu theoretisch eine Bandbreite von 100MBit/s. Von unserer Seite ist hier auch eine redundante Leitung (2. Hauseinführung, komplett redundant im Backbone) für den Ernstfall gewünscht. Sprich ich habe theoretisch die Möglichkeit über 2 aktiv nutzbare Leitungen mit jeweils 50MBit/s meine benötigten 100MBit/s (annähernd) zu erreichen. Allerdings nur, wenn ich es schaffe über beide Leitungen ein einziges VPN zu ziehen.

Laut Dienstleister kann das unterere bis jetzt eingesetzte Firewall (FortiGate) nicht, und er wüsste auch von keinem FW-System dass das kann. Da dort aber auch nur der FW Spezi gefragt worden sein wird befürchte ich, dass ich eine recht einseitige Sicht der Dinge bekomme. Für mich bedeutet das aber erstmal ich muss 2x 100MBit/s buchen, wovon sich immer eine Leitung voll langweilt. Alternativ ist aktuell die Anfrage beim zukünftigen ISP offen (beide Leitungen beim selben), ob er uns die Leitungen bereits gebündelt zur Verfügung stellen kann.

Nur, für den Preisunterschied von dann im Endeffekt 4x synchronen 100MBit/s (2x Hauptstandort, 2x Niederlassung) zu 4x synchronen 50MBit/s und einer Laufzeit von 3+Jahren pro Leitung kann ich mir einiges an zusätzlicher Hardware hinstellen die mein Problem löst.

Ich weiß, dass es Systeme zur Kanalbündelung gibt, kenne auch eins noch vom alten AG (ist aber auch schon 5 Jahre her) weiß aber nicht genau wie diese funktionieren, was sich seitdem getan hat, ob so etwas für den gewünschten Einsatz geeignet ist und wonach ich genau suchen muss.

Jetzt die eigentliche Frage: hat einer von euch eine Idee wie ich das mit der Kanalbündelung im VPN realisieren kann, also womit ich meinen DL füttern muss um das zu bekommen was ich möchte :) (Wenn es denn technisch sinnvoll möglich ist, was ich auch nicht genau weiß, nur weil es geht, kann es ja trotzdem blöd sein).

MPLS ist aktuell kein Thema, die redundanten Leitungen hingegen sind gesetzt.

[Nosborg]

Nutzt ihr Cisco? Dann könntet ihr zwei VPN Tunnel aufbauen und über EIGRP dynamisch Routen. Das Protokoll unterstützt auch Load-Balancing.

[t0pi]

Ich meine Lancom / Sophos bietet die gesuchten Funktionen. Bin mir da aber nicht zu 100% sicher.

[_n4p_]

BalanceNG n Software Load-Balancing System, gibt auch paar fertige Appliances

und dazu noch die Frage nach der Umgebung. Wie groß sind die Backups? sind die schon inkrementell? über inkrementelle Snapshots  des Backup-Repositorys nachgedacht?

[Maniska]

Joar, gedanklich kreise ich immer wieder um Virprinet, kenn ich schon vom alten AG (andere Branche, andere Anwendung), fand ich damals schon toll. Dazu, deutsche Firma, klasse Support, aber recht hohe Preise. Wobei sich das bei Mehrkosten von ein paar hundert Euro im Monat für die dickere(n) Leitung(en) dann auch schnell relativiert.

Hab meinem DL auch schon aufs Auge gedrückt dass er prüfen soll wie es ausschaut mit 2 Leitungen im MultichannelVPN ohne Routing in die Wolke und jeweils eine kleine 10er mit max. Service Level für Internet und Telefonie in die Welt...

Rechnet sich im Zweifelsfall auch eher früher als später.

Backups sind inkrementell, bzw der Replikation Job dürfte ja nur die veränderten Blocke schreiben. Ist aber bei Systemen mit DB so eine Sache, das DB File wird ja IMHO nur als Ganzes betrachtet, muss also komplett übertragen werden, nicht nur die Änderungen.

Die wichtigen Daten auf dem Fileserver bringe mit DFS Replication rüber, das sollte kein Thema sein, das Hintergrundrauschen der RDP Sessions sollte auch überschaubar bleiben. Aber so wie es ausschaut müssen 2x am Tag (Mittags und Nachts) der Exchange, das ERP und noch so 2-3 kritische Systeme rüber...

Da hat man schon ein riesiges Systemhaus als DL und bekommt trotzdem nicht was man will...

[Enno]

Um was für eine DB handelt es sich denn dabei?

Eventuell ist ja bei der DB sinnvoller zwar lokal ein Backup zu schreiben. Dieses aber aufgrund der Größe nicht in den anderen Standort zu übertragen, sondern dort einen 2ten High Available Clusterknoten als Hot Standby hinzustellen.

Dann werden untertags immer nur die Daten die auch wirklich in der DB geändert werden übertragen.

Da kommt es dann aber auf eine Kompletteinschätzung an (Größe der DB gesamt / geänderte Größe pro Zeiteinheit / Größe Backup / Nutzung der Leitung pro Zeiteinheit / .... )

[Bennox]

Nur mal so nebenher. Hast du evtl. mal probiert mit deinem Provider zu sprechen ?

Denn wenn die Leitungen vom gleichen Anbieter sind, dann besteht auch theoretisch die Möglichkeit die beiden Leitungen direkt vom Provider zu bündeln, die beim Ausfall einer trotzdem weiterlaufen?

Die bauen auch auf Lastenausgleich. Gut wäre ein MPLS oder über andere Wege verbundenes Netz (SSL VPN).

VIelleicht den Ansatz mal gehen ? Brauchst dann aber, sofern deine Geräte das nicht können, ein Gerät je Seite.

[Maniska]

vor 11 Stunden schrieb Bennox:

Nur mal so nebenher. Hast du evtl. mal probiert mit deinem Provider zu sprechen ?

Denn wenn die Leitungen vom gleichen Anbieter sind, dann besteht auch theoretisch die Möglichkeit die beiden Leitungen direkt vom Provider zu bündeln, die beim Ausfall einer trotzdem weiterlaufen?

Siehe erster Beitrag: Alternativ ist aktuell die Anfrage beim zukünftigen ISP offen (beide Leitungen beim selben), ob er uns die Leitungen bereits gebündelt zur Verfügung stellen kann.

An beiden Standorten sind lokale Netzbetreiber das Mittel der Wahl, da uns die "Großen" weder am Hauptstandort noch beim Neuen > 20MBit/s bereitstellen wollen. aber die Antwort ist da, wir bekommen es schon gebündelt serviert.

"Richtiges" MPLS ist aktuell aus Kostengründen kein Thema

[Bennox]

Sorry, habs überlesen. War sicherlich zu spät für mich

Aber ist doch gut, wenn du eine Rückmeldung erhalten hast, dass dein Provider das bereits machen kann. Somit ist das Problem auch erst einmal vom Tisch.