2
Welche Hardware benötige ich für eine größere Linux-Firewall
Ich möchte unsere derzeitigen alten Debian-Gateways mit iptables durch neue Technik ersetzen. Dafür suche ich ein paar Tips für passende Hardwaretechnik.
Bedingung der Gateways:
- Hochverfügbarkeit über vrrp
- Internetanschluß 2x 100 MB redundant
- 3 verschieden DMZ-Zonen , 1 Backbone -> 5 Netzwerkkarten je Gateway
- ca. 8000 User mit Internetanschluß
- ca. 30.000 bis 50.000 gleichzeitige Verbindungen
- Firewall über iptables
- System Debian
- keine VPN-Verbindungen nötig
- ein wenig NAT und logging / accounting
Eine Hardware-Firewall kann ich nicht gebrauchen, da ich eigene Scipts für das Accounting laufen lassen muß.
Iptables-Regeln sind doch nicht groß rechenintensiv. Es sind doch reine IO-Prozesse. Dafür muß doch eine 1-Prozessormaschiene ausreichen.
5 Netzwerkkarten mit je 100MB, schaft das der PCI-Bus? Oder muß ich auf PCI-Express setzen? Was haltet Ihr von Giga-Karten für PCI / PCIO-Express mit mehreren Ports?
Wer hat damit Erfahrungen?
Bedingung der Gateways:
- Hochverfügbarkeit über vrrp
- Internetanschluß 2x 100 MB redundant
- 3 verschieden DMZ-Zonen , 1 Backbone -> 5 Netzwerkkarten je Gateway
- ca. 8000 User mit Internetanschluß
- ca. 30.000 bis 50.000 gleichzeitige Verbindungen
- Firewall über iptables
- System Debian
- keine VPN-Verbindungen nötig
- ein wenig NAT und logging / accounting
Eine Hardware-Firewall kann ich nicht gebrauchen, da ich eigene Scipts für das Accounting laufen lassen muß.
Iptables-Regeln sind doch nicht groß rechenintensiv. Es sind doch reine IO-Prozesse. Dafür muß doch eine 1-Prozessormaschiene ausreichen.
5 Netzwerkkarten mit je 100MB, schaft das der PCI-Bus? Oder muß ich auf PCI-Express setzen? Was haltet Ihr von Giga-Karten für PCI / PCIO-Express mit mehreren Ports?
Wer hat damit Erfahrungen?
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 106915
Url: https://administrator.de/contentid/106915
Printed on: April 25, 2024 at 23:04 o'clock
2 Comments
Latest comment
Hallo,
bei der Dimensionierung kann ich Dir leider mangels eigener Erfahrungen in dieser Größenordnung wenig helfen....
Zu den Netzwerkkarten:
Wenn es kein Vertipper ist und Du wirklich 5 x 100 MBit-Karten nutzen willst, ist es _garkein_ Problem für den PCI-Bus.
Bei 5 x Gigabit wird es aber knapp, wenn Du sie wirklich ausnutzen willst. Da wäre PCIe besser...
Falls neue Hardware angeschafft werden soll, würde ich das Ganze mit Intel Multiport-Karten machen. Mit den Quad-Port und Dual-Port Karten hatte ich persönlich noch nie Probleme. Sie sind schnell und vor allem völlig unproblematisch mit der Treiberunterstützung unter Linux. Bei den derzeitigen Hardwarepreisen würde ich zwei 1-HE mit einer Quad-Core CPU kaufen und mir einfach keine Gedanken mehr darüber machen
Gruß
Phil
bei der Dimensionierung kann ich Dir leider mangels eigener Erfahrungen in dieser Größenordnung wenig helfen....
Zu den Netzwerkkarten:
Wenn es kein Vertipper ist und Du wirklich 5 x 100 MBit-Karten nutzen willst, ist es _garkein_ Problem für den PCI-Bus.
Bei 5 x Gigabit wird es aber knapp, wenn Du sie wirklich ausnutzen willst. Da wäre PCIe besser...
Falls neue Hardware angeschafft werden soll, würde ich das Ganze mit Intel Multiport-Karten machen. Mit den Quad-Port und Dual-Port Karten hatte ich persönlich noch nie Probleme. Sie sind schnell und vor allem völlig unproblematisch mit der Treiberunterstützung unter Linux. Bei den derzeitigen Hardwarepreisen würde ich zwei 1-HE mit einer Quad-Core CPU kaufen und mir einfach keine Gedanken mehr darüber machen
Gruß
Phil
Hallo Phil,
danke erst einmal. Zur Zeit brauche ich nur 100 MBit. Ein Interconnect von 622MBit bezahlt noch keiner von unseren Kunden
. Aber man weiß nicht, wie es in 1-2 Jahren aussieht. Die Server sollten mal wieder 5 Jahre halten. Meine Cisco-Router davor, haben schon GigaBit-Interface. Also werde ich sicherheitshalber auf PCI-Express-Giga-Karten setzen.
Gruß
Timi07
danke erst einmal. Zur Zeit brauche ich nur 100 MBit. Ein Interconnect von 622MBit bezahlt noch keiner von unseren Kunden
. Aber man weiß nicht, wie es in 1-2 Jahren aussieht. Die Server sollten mal wieder 5 Jahre halten. Meine Cisco-Router davor, haben schon GigaBit-Interface. Also werde ich sicherheitshalber auf PCI-Express-Giga-Karten setzen.Gruß
Timi07
