Re: [FRnOG] Firewall Linux contre Juniper
Euh ... ISG2000 ca fera nessairement l'affaire... La boite est capable de firewaller 40G de traff! C'est un vrai firewall de service provider. Par contre, c'est la stricte antithese du FW logiciel... Et le prix est (tres) consequent. Ca fait du vrf, de l'igp, du mcast... C'est aussi un routeur relativement complet-du coup c'est un peu distant du besoin initial non ? Greg Villain - Original Message - From: [EMAIL PROTECTED] [EMAIL PROTECTED] To: John Fistack [EMAIL PROTECTED] Cc: frnog@frnog.org frnog@frnog.org Sent: Thu Oct 04 14:09:45 2007 Subject: Re: [FRnOG] Firewall Linux contre Juniper Salut John, Côté Juniper, as-tu jeté un coup d'oeil sur les specs de la gamme ISG: http://www.juniper.net/products_and_services/firewall_slash_ipsec_vpn/isg_series_slash_gprs/ http://www.juniper.net/products_and_services/firewall_slash_ipsec_vpn/isg_series_slash_gprs/ Notamment l'ISG2000 pourra répondre à tes attentes en terme de perfs NAT et throughput, en standalone, indépendant de tes perfs coeur réseau. Auprès de quel partenaire as-tu demandé une cote SSG? Bonne journée, Olivier Le 03/10/07, John Fistack [EMAIL PROTECTED] a écrit : Hello, Merci pour toutes vos réponses. 90 % de mon transit est en paquet de pages web de petites tailles. Je confirme que l'ajout de CPU apporte plus de performance dans mon cas. J'avais un mono-Xeon 2.8 Ghz qui était à genoux jusqu'à 50% de charge système. Un upgrade à un serveur bi-dual core 3 Ghz a résolu tous les problèmes, certes le nouveau serveur avait un bus plus rapide, passait d'un mono processeur au bi, de mono à dual core. Je ne peux confirmer si le multi-core apporte en capacité pour un Firewall. - Même si NetScreen a une bonne réputation que pensez-vous de la lame pour 6500 Cisco Firewall WS-SVC-FWM-1-K9 ? Sur le papier elle permet de filtrer 5,2 Gbps, on la trouve à 12 000-15 000 euros d'occasion. Est-ce un problème pour vous de mélanger Firewalling et coeur de réseau ? - La carte précédente est basée sur l'architecture des Pix, est-ce que cette architecture est obsolète ? Que vaut-elle face à un ASA 5520-BUN-K9 qui peut gérer 1,2 Gbps, en actif-actif cela fait 2,4 Gbps ? - Je n'ai pas retrouvé la référence Juniper NG550 mais ai lancé des devis sur les SSG-550. Merci. John Le 01/10/07, Xavier Beaudouin [EMAIL PROTECTED] a écrit : Hello, Je pourrais : - couper mon réseau public en 4 sous réseaux et mettre 4 firewalls Linux (2 paires en haute disponibilité avec un heartbeat) ? - relier directement sans NAT les répartiteurs LVS au routeur BGP et les auto-firewalliser en iptables ? - valider qu'un firewall Linux actif peut tenir 2 Gbps (+ un passif avec heartbeat) ? Charge : Le firewall a peu de charge : Normal tout le travail se fait dans le noyau, donc le nombre de CPU importe peu... Enfin pour l'instant il me semble Avez-vous un serveur Linux qui tient 2 Gbps ? 2Gbps oui mais ca dépends de ce que tu as dans tes 2Gbps... Si c'est 2Gbps avec des petits paquets (aller au hasard sur le port 53 !), un linux vas avoir beaucoup de problèmes a filtrer ça et tenir la charge... Faut-il lâcher Linux et acheter des Juniper Netscreen ? Quel modèle Netscreen utilisez vous pour gérer du trafic autour de 2 Gbps ? Nous on utilise 2 NG550... Pas de pb :) Avec moins de règles... Si vous utilisez pour votre firewalling des serveurs Linux iptables ou du Netscreen je suis très intéressé par vos retours d'expérience sur leurs capacités de tenue à la charge. Il y a aussi d'autres solutions pratiques, par exmple pfsense... :) /Xavier
Re: [FRnOG] Firewall Linux contre Juniper
Je confirme, erreur de ma part. Au temps pour moi :) Par contre, je vois pas avec quoi j'ai confondu... Greg - Original Message - From: [EMAIL PROTECTED] [EMAIL PROTECTED] To: frnog@frnog.org frnog@frnog.org Sent: Thu Oct 04 16:21:22 2007 Subject: RE: [FRnOG] Firewall Linux contre Juniper Oups, Il doit y avoir confusion l'ISG2000 supporte 4G pour du trafic mixte ou 2 G de trafic uniquement constitué de petits paquets (64octets) avec un temps de latence moyen de 45 microsecondes. Il supporte effectivement BGP (limité à 2 routes) OSPF RIP du VRF, et du multicast IP (PIM seulement). http://www.itslabs.com/tests/its04002.jhtml Damien De : [EMAIL PROTECTED] [mailto:[EMAIL PROTECTED] De la part de Grégoire VILLAIN Envoyé : jeudi 4 octobre 2007 15:48 À : [EMAIL PROTECTED] Cc : frnog@frnog.org Objet : Re: [FRnOG] Firewall Linux contre Juniper Euh ... ISG2000 ca fera nessairement l'affaire... La boite est capable de firewaller 40G de traff! C'est un vrai firewall de service provider. Par contre, c'est la stricte antithese du FW logiciel... Et le prix est (tres) consequent. Ca fait du vrf, de l'igp, du mcast... C'est aussi un routeur relativement complet-du coup c'est un peu distant du besoin initial non ? Greg Villain - Original Message - From: [EMAIL PROTECTED] [EMAIL PROTECTED] To: John Fistack [EMAIL PROTECTED] Cc: frnog@frnog.org frnog@frnog.org Sent: Thu Oct 04 14:09:45 2007 Subject: Re: [FRnOG] Firewall Linux contre Juniper Salut John, Côté Juniper, as-tu jeté un coup d'oeil sur les specs de la gamme ISG: http://www.juniper.net/products_and_services/firewall_slash_ipsec_vpn/isg_series_slash_gprs/ http://www.juniper.net/products_and_services/firewall_slash_ipsec_vpn/isg_series_slash_gprs/ Notamment l'ISG2000 pourra répondre à tes attentes en terme de perfs NAT et throughput, en standalone, indépendant de tes perfs coeur réseau. Auprès de quel partenaire as-tu demandé une cote SSG? Bonne journée, Olivier Le 03/10/07, John Fistack [EMAIL PROTECTED] a écrit : Hello, Merci pour toutes vos réponses. 90 % de mon transit est en paquet de pages web de petites tailles. Je confirme que l'ajout de CPU apporte plus de performance dans mon cas. J'avais un mono-Xeon 2.8 Ghz qui était à genoux jusqu'à 50% de charge système. Un upgrade à un serveur bi-dual core 3 Ghz a résolu tous les problèmes, certes le nouveau serveur avait un bus plus rapide, passait d'un mono processeur au bi, de mono à dual core. Je ne peux confirmer si le multi-core apporte en capacité pour un Firewall. - Même si NetScreen a une bonne réputation que pensez-vous de la lame pour 6500 Cisco Firewall WS-SVC-FWM-1-K9 ? Sur le papier elle permet de filtrer 5,2 Gbps, on la trouve à 12 000-15 000 euros d'occasion. Est-ce un problème pour vous de mélanger Firewalling et coeur de réseau ? - La carte précédente est basée sur l'architecture des Pix, est-ce que cette architecture est obsolète ? Que vaut-elle face à un ASA 5520-BUN-K9 qui peut gérer 1,2 Gbps, en actif-actif cela fait 2,4 Gbps ? - Je n'ai pas retrouvé la référence Juniper NG550 mais ai lancé des devis sur les SSG-550. Merci. John Le 01/10/07, Xavier Beaudouin [EMAIL PROTECTED] a écrit : Hello, Je pourrais : - couper mon réseau public en 4 sous réseaux et mettre 4 firewalls Linux (2 paires en haute disponibilité avec un heartbeat) ? - relier directement sans NAT les répartiteurs LVS au routeur BGP et les auto-firewalliser en iptables ? - valider qu'un firewall Linux actif peut tenir 2 Gbps (+ un passif avec heartbeat) ? Charge : Le firewall a peu de charge : Normal tout le travail se fait dans le noyau, donc le nombre de CPU importe peu... Enfin pour l'instant il me semble Avez-vous un serveur Linux qui tient 2 Gbps ? 2Gbps oui mais ca dépends de ce que tu as dans tes 2Gbps... Si c'est 2Gbps avec des petits paquets (aller au hasard sur le port 53 !), un linux vas avoir beaucoup de problèmes a filtrer ça et tenir la charge... Faut-il lâcher Linux et acheter des Juniper Netscreen ? Quel modèle Netscreen utilisez vous pour gérer du trafic autour de 2 Gbps ? Nous on utilise 2 NG550... Pas de pb :) Avec moins de règles... Si vous utilisez pour
Re: [FRnOG] Re: [FRnOG] Content Delivery Network (CDN) à la francaise
Bonjour à tous, Quelques petits mots juste pour vous dire que les intérressés lisent le thread, au risque de ne pas y ajouter puisque tout ou presque a déjà été dit. A titre d'info, une plateforme bien pensée pour délivrer un contenu tel que la vidéo en http, se doit de disposer d'une partie CDN facilement exportable, à savoir qu'elle 'tire' peu sur le backend pour 'sortir' beaucoup vers les peers/transits - c'est la façon dont notre plateforme a été conçue dès sa création, merci d'ailleurs à ceux qui s'y sont employés car c'est sûrement là que réside notre salut: être capables nous mêmes d'assumer tout ou partie de notre CDN. Aussi à ceux ISPs qui seraient partants pour justement héberger chez eux des proxies (et donc potentiellement économiser de la BP (clin-d'oeil), nous sommes ouverts à toute discussion - on a peut être à y gagner des deux côtés. Merci en tout cas pour les vives réactions et la qualité du débat, on prend note de toutes vos remarques et on va tâcher de s'en servir à bon escient ;) Greg VILLAIN / Dailymotion Corp. Your former PaNAP host, now craving for bandwidth... PS: arrêtez de parler de la bulle 2.0, on est un peu superstitieux et ca nous empêche de dormir la nuit rien que d'y penser. brr On 11/28/06, Jerome Fleury [EMAIL PROTECTED] wrote: S'ils prennent la peine d'installer les serveurs chez le FAI, pourquoi les faire payer ? En ce qui concerne un CDN franco-francais, pourquoi pas, mais Akamai est déjà bien présent en France et sur du contenu franco-francais. Frédéric Gander wrote: On Tue, Nov 28, 2006 at 07:06:46PM +0100, Damien Wetzel wrote: Oui du moment que je marge avec mes clients, En plus je ne suis pas sur que Free fasse payer la bande passante à akamai (de mon temps ce n'était pas le cas) les choses changent. Damien, PS: La partie importante d'un CDN est le routage du enduser vers le bon cache (le plus pres en delai), ce routage est fait à partir de la résolution DNS et s'appelle DNS GSLB (Global Server Load Balancing). domage on force le ttl a 3600 secondes minimum ;) Tu veux dire que les caches des resolver DNS de free ignorent les TTL 1h ? oui suite à l'histoire de zonealarm entre autre qui avait eclaté tous les serveurs dns des FAI francais, mais aussi les boites de bandeaux de pub par la suite. Comme ca quand ils repondent de temps en temps (vu que leurs DNS sont surchargés) au moins on garde l'info 1h et nos serveur dns ne passent pas 99% de leur temps à partir en timeout sur les requettes dns recursives. je crois que wanadoo le fait aussi et ils forcent le ttl à une valeur plus elevée encore, il faudrait vérifier. Akamai,savvis,ultradns,f5 3DNS propose des versions commerciales de GSLB. Si certains d'entre vous ont déja utilisé ce genre de produits je suis preneur de leur avis. Si certains connaissent des projets libres de DNS GSLB je suis également intérressé, mais je pense que ca n'existe pas. -- ~~ Damien WETZEL (`-/)_.-'``-._ . . `; -._)-;-,_`) (v_,)' _ )`-.\ ``-' Using Linux requires patience in learning. _.- _..-_/ / ((.' Using Windows requires learning patience.((,.-' ((,/ ~ --- Liste de diffusion du FRnOG http://www.frnog.org/ -- GANDER Frédéric [EMAIL PROTECTED] - http://www.free.fr -- Jérôme Fleury Backbone IP Telecom Italia SA Tel: +33 1 45082314 --- Liste de diffusion du FRnOG http://www.frnog.org/ -- Greg [EMAIL PROTECTED] --- Liste de diffusion du FRnOG http://www.frnog.org/
