Inter-VLAN-Routing mit Core Switch (Layer 3) statt Router

[fildercom]

Hallo liebe Community,

ich möchte meine Infrastruktur eventuell nochmal etwas umbauen bzw. optimieren. Aktuell fahre ich klassisches SMB-Netzdesign mit mehreren Edge-Routern, die gleichzeitig sowohl die WAN-Anbindung (NAT) als auch das Inter-VLAN-Routing (z.B. mit ARF) machen. Ich habe momentan einen Mischbetrieb aus LCOS-Routern und VyOS-Routern, aber sie bilden gemeinsam mehrere VRRP-Gruppen. Das funktioniert ziemlich gut.

Der von mir eingesetzte Core-Switch hat mittlerweile zu wenig Ports, weshalb ich ihn schon mit einem zweiten ähnlichen Switch kaskadiert habe. Beides sind nur Layer 2-Switches.

Jetzt überlege ich, diese beiden Switches durch einen einzigen größeren Core-Switch zu ersetzen, welcher auch Layer 3 beherrscht und das Netzdesign mehr auf Enterprise-Klasse umzubauen.

In dem Segment gibt es einige Geräte, die in Frage kommen könnten, z.B.

• FS S5860-20SQ
• D-Link DXS-3410-32SY
• Zyxel XS3800-28
• R&S®LANCOM XS-6128QF

(Liste preislich aufsteigend sortiert)

Die Überlegung ist nun, das Inter-VLAN-Routing von den Routern auf den Core Switch zu verlagern. Die Theorie dahinter ist mir klar: alle Clients nutzen den Core Switch als Default-Gateway. Auf dem Core Switch gibt es eine Default Route für 0.0.0.0 die auf einen VRRP-Router zeigt. Zudem braucht man auf dem Core Switch ACLs, die sauber regeln, welche VLANs Zugriff auf welche anderen VLANs bekommen und welche nicht.

Aber in der Praxis stellen sich mir dann einige Fragen:

• Wie realisiere ich es, wenn es in einem VLAN momentan mehrere Default Gateways gibt, die unterschiedliche VRRP-Prioritäten und demnach haben und demnach unterschiedliche WAN-Anbindungen nutzen? (die Clients bekommen per DHCP unterschiedliche Gateways ausgeliefert)
• Jedes VLAN ist momentan auch ein anderes Subnetz und nutzt dementsprechend die passende virtuelle VRRP IP. Wie mache ich das danach?
• Müssen die Router weiterhin Mitglied in allen Subnetzen und VLANs sein?
• Oder sollte man die Router alle in ein separates Transfernetz packen?
• Und wie mache ich das mit der SIP-PBX? Diese bräuchte dann ja einen weiteren Hop, um ihre Rufnummern zu registrieren. Das hört sich nach potentiellem Ärger an.

Und gibt es weitere Punkte, die ich beachten müsste? Oder ist das eine dumme Idee und sollte ich weiterhin die Router das Inter-VLAN-Routing machen lassen und nicht den Core Switch?

Vielen Dank und viele Grüße
fildercom

[tstimper]

Hi Fildercom,

das sind ja schon komplexe Fragen fürs Forum.
Zum besseren Verständnis wäre eine Zeichung gut aber die gehört eher auch nicht hierher.

Der XS-6128QF ist schon ein preisliches Monster. Der Preisunterschied zum FS S5860-20SQ ist schon bemerkenswert groß.

Ich hatte letze Woche ein ineressantes Gespräch. Der Kolege meine das er heututage alles mit OSPF bauen würde.
Ganz klare Netzwerksegmentierung, immer routen, immer Firewalls zwischen den Segmenten.

Wir können gerne mal einen Call machen und gemejnsam über den Plan schauen. Schauen wer mal was alles so an Feedback kommt.

Viele Grüße

ts

[Koppelfeld]

Hallo !

das sind ja schon komplexe Fragen fürs Forum.

... mit einfachen Antworten: Layer 2 := Bridge, Layer 3 := Router.

Ich hatte letze Woche ein ineressantes Gespräch. Der Kolege meine das er heututage alles mit OSPF bauen würde.

Im L A N ? ? ?

[Jirka]

Oder ist das eine dumme Idee und sollte ich weiterhin die Router das Inter-VLAN-Routing machen lassen und nicht den Core Switch?

Ich kann Dir das nicht vollumfänglich beantworten. Ich kann Dir nur sagen, dass ich diese Frage beim vorletzten (oder vorvorletzten?) Community-Talk an "Ina" gestellt hatte und die Antwort war, dass das nicht sinnvoll ist. Sowas hätte man vor Jahren gemacht, aber jetzt sei das nicht mehr Stand der Technik. Ich hoffe, ich habe das so einigermaßen korrekt wiedergegeben. Das Layer-3-Switching ist letztlich nur ein beworbenes Feature, was praktisch nicht eingesetzt wird. Vielleicht äußert sich Ina hier noch mal dazu, oder aber Du fragst das dann noch mal an.

[sixty]

Hallo Jirka,

ich denke, jeder L3-Switch mit Hardware-Routing/CAM ist besser als das Software-Routing der LANCOM-Router.
Natürlich ist das von der konkreten Architektur Deines Netzwerk abhängig, aber ich verstehe es jetzt mal so, daß wir von VLANs mit gleichem/ähnlichen Sicherheitsleveln reden (z.B. verschiedene Abteilungen eines Unternehmens) und von recht hohem Datendurchsatz (Du hast Geräte mit vielen 10G-Ports verlinkt).
Wie man die Redundanz gestaltet, ist von den verwendeten Switchen abhängig.
Ich persönlich verwende gerne die FlexFabric-Reihe von HP, die liegt aber wohl außerhalb Deines Budgets (der FS ist ihnen aber zumindest ähnlich).
Jedenfalls kann man die über ein Protokoll namens IRF (Intelligent Resilent Framework) stacken (auch über verschiedene Racks oder Serverstandorte hinweg). Solange mindestens einer davon aktiv ist, ist das Routing gegeben - auch ohne VRRP. Zudem unterstützen sie distributet trunking, das heißt an Servern mit zwei Netzwerkinterfaces kann man beide Switche anschließen und das per LACP oder statisch bündeln. Fällt einer der Switche aus, sinkt die Bandbreite eben nur um die Hälfte. Siehe auch die Grafiken auf der FS-Seite.
Internet (und auch SIP) würde ich in einer Art DMZ bündeln (ist ja selten mehr als 1G pro Uplink) und dort je nach Bedarf mit einer Unified Firewall oder auch einem der "klassischen" Router von LANCOM abhandeln. Damit hat man nur dorthin mehr als einen Hop.
"Gefühlt" dürfte für Deinen Anwendungsfall statisches Routing reichen und am übersichtlichsten sein, aber je nach Anwendungsfall kann natürlich auch BGP, OSPF oder ein anderes SD-WAN-Protokoll zum Einsatz kommen.

Nur mal so als Denkansatz
Sixty

[Koppelfeld]

„Hardware - Routing‘ ?
Dazu nutzt ein Switch genau so Software wie ein Router!

Das Multiport-bridging macht er parallel mit FPGAs.

[sixty]

Zumindest bei den von mir genutzten FlexFabric bin ich mir sehr sicher, daß das Routing über den Broadcom-ASIC erfolgt, siehe z.B. hier.
Zu den oben verlinkten Switchen kann ich nichts sagen.

[fildercom]

Hallo zusammen,

ich danke euch allen für euer bisheriges Feedback.

Es gibt momentan 4 VLANs, wobei VLAN 1 Zugriff auf alle weiteren VLANs hat, die VLANs 2-4 haben keinen Zugriff auf irgend ein anderes VLAN. VLAN 2+4 haben jeweils Internetzugriff, in VLAN 3 sind nur die notwendigen Ports für SIP für die PBX freigeschaltet.

Es existieren aktuell 6 VRRP-Router, wobei es in VLAN 1 insgesamt 3 Stück davon gibt (jeder mit einer anderen Priorisierung der WAN-Anbindungen) und die Clients in VLAN 1 nutzen dafür unterschiedliche Gateway-IP-Adressen. Die Route in die anderen VLANs wird per DHCP-Option verteilt.

In den anderen VLANs gibt es jeweils nur einen VRRP-Router als Gateway.

Würde sich das mit einem Layer 3-Switch abbilden lassen?

Insbesondere die Sache mit der SIP-PBX macht mir große Sorgen, weil das ja nicht so ganz trivial ist mit NAT und dann einem weiteren Hop...

Vielen Dank und viele Grüße
fildercom