Перейти из форума на сайт.

Новости • Файловые архивы
Поиск • Активные темы • Топ лист
Правила • Кто в on-line?
Вход • Забыли пароль? • Первый раз на этом сайте? • Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Пожалуйста, помогите с организацией архитектуры сети

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2

Открыть новую тему     Написать ответ в эту тему

togacure

Newbie		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
В наличии почти 500 рабочих мест, разбросанных по 10 населенным городам. В каждом населенном пункте наличествует PDC (Windows server 2003), а также маршрутизатор, обеспечивающий связь по VPN с головной конторой, который есть мысль заменить на что-то, умеющее MPLS. Естественно, в каждом населенном пункте своя сеть со своей адресацией, но хотелось бы прийти к одному адресному пространству, с минимальным количеством промежуточных маршрутов. Также преследуется цель иметь один основной контроллер домена и ряд резервных, в связи с чем хотелось бы услышать мнение людей, возможно, сталкивавшихся с чем-то подобным.
Всего записей: 23 | Зарегистр. 23-03-2011 | Отправлено: 17:19 01-12-2011
Valery12

Silver Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
есть мысль заменить на что-то, умеющее MPLS
MPLS вам может обеспечить только провайдер, если он конечно один для всех филиалов
Всего записей: 2325 | Зарегистр. 21-07-2003 | Отправлено: 21:44 01-12-2011
bga83



Silver Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
хотелось бы прийти к одному адресному пространству, с минимальным количеством промежуточных маршрутов

А смысл этого в чем?
 

Цитата:
есть мысль заменить на что-то, умеющее MPLS

для этого надо иметь свои кабели между офисами всех филиалов. Затраты на это тебя несколько удивят.
 
Можно конечно найти провайдера, имеющегося во всех городах и заказать L2-туннель, что будет на самом деле не особо дешевой услугой. Но особого смысла в этом нет. Получится, что будет один "физический" сегмент, то есть канал между городами будет дополнительно забиваться служебными пакетами L2. Помимо этого в AD не получится настроить сайты, и репликации между контроллерами могут полностью забить каналы.
Всего записей: 2008 | Зарегистр. 30-11-2007 | Отправлено: 09:55 02-12-2011
togacure

Newbie		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
MPLS провайдер как раз умеет. И он один. Цены вполне приемлемые.
Всего записей: 23 | Зарегистр. 23-03-2011 | Отправлено: 10:08 02-12-2011
bga83



Silver Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
togacure
Дело твое, можно заказывать L2-туннели. Но смысл ? У меня опыт есть  сопровождения распределенных сетей нескольких организаций, имеющих до 80 подразделений по разным городам. При этом какой-то оправданной необходимости прибегать к L2 не возникало.
Всего записей: 2008 | Зарегистр. 30-11-2007 | Отправлено: 10:13 02-12-2011
togacure

Newbie		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
тогда вопрос встречный - как это было построено? оправдана ли куча промежуточных маршрутов и вагон серверов?
Всего записей: 23 | Зарегистр. 23-03-2011 | Отправлено: 10:35 02-12-2011
The Bug



Advanced Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
На самом деле нужно делать проект и обозначать риски и преимущества различных вариантов.
Ну для примера.
1) VPN. MPLS неплохая технология, но трафик фактически не защищен от перехвата (помним  СОРМ), т.е. для многих компаний, политикой безопасности определяется необходимость шифрования трафика при передаче через публичный сети или сети провайдера. Если у вас нет таких требования, то можно и MPLS. Хотя имхо MPLS нужен если есть проблемы с производительностью или качеством канала.
2) Схема AD. Тут тоже много факторов и получить ответ в духе "А вот сделай так и будет тебе счастье" мягко говоря наивно.
Можно, например, использовать в филиалах RODC. Ну а может и нельзя, если есть некоторые административные требования.
3) Насчет кучи промежуточных маршрутов. А чем собственно это плохо? Если производительность устраивает?
Всего записей: 1143 | Зарегистр. 06-04-2006 | Отправлено: 10:44 02-12-2011
togacure

Newbie		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Согласен на 100% с тем, что методики "А вот сделай так и будет тебе счастье" не существует, именно поэтому я и спрашиваю у людей, которые сталкивались с чем-то подобным, как лучше реализовать структуру сети. А наличие большого числа промежуточных маршрутов не устраивает как раз тем, что во-первых, при выходе из строя маршрутизатора где-то в удаленном филиале сразу же вылезает боком - ложится филиал и очень часто то, что находится за ним, во-вторых, частенько бывает такое как после того как ночью обесточивался удаленный филиал, сели батареи в ИБП, все вырубилось, после того как появилась напруга виндовый сервер загружается, а вот FreeBSD начинает ругаться на ошибки в файловой системе и приходится ехать фиг знает куда чтобы нажать пару клавиш, ибо народ на месте не знает что это такое.
 
Добавлено:
Тем более, фиг его знает насколько лучше будет держать все в одном адресном пространстве без деления на подсети.
Всего записей: 23 | Зарегистр. 23-03-2011 | Отправлено: 11:08 02-12-2011
vlary



Platinum Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
togacure Ставьте в центре и филиалах циски, где возможно, подписывайтесь для резервирования канала на двух провайдеров, соединяйте все туннелями, у будет вам щастье.  


----------
Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек
Всего записей: 17290 | Зарегистр. 13-06-2007 | Отправлено: 11:22 02-12-2011
togacure

Newbie		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Циски слишком уж недешево выходят. Пока часть перевел на микротик, причем, связав его с управляемыми свитчами - очень даже неплохие впечатления от этой связки.
Всего записей: 23 | Зарегистр. 23-03-2011 | Отправлено: 11:37 02-12-2011
Farch



Silver Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
схема ж стандартная?
 
Домен:
 
Win2003/08 в центре
На сайтах как standalone подключаешь к основному
 
Связь:
 
в центре  - Routerboard 1200 (http://routerboard.com/RB1200)  (10 гнезд)
на сайтах - RB751U-2HnD (http://routerboard.com/RB751U-2HnD)  
 
если больше 120 человек на каком либо из сайтов, ставь другой
(можно еще 3G backup link туда засунуть)
он же тебе и wifi даст, хотя учитывая что тебе и VPN нужны я бы взял помощьнее
 
(будешь покупать не у реселлера а у официальных лиц - дадут initial config и 30 дней поддержки
то есть за тебя все сконфигурят)
 
и каждому сайту свою подсетку аля 192.168.1.0 - 192.168.10.0
 
свитчи HP управляемые естественно
 
Управление:
 
Altiris один на всех в центре ставишь:
http://www.symantec.com/connect/articles/installing-altiris-deployment-server-and-altiris-pxe-server-vlan-environment#5
Всего записей: 3211 | Зарегистр. 25-12-2001 | Отправлено: 11:59 02-12-2011 | Исправлено: Farch, 12:22 02-12-2011
togacure

Newbie		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Ну. как бы тоже начинаю склоняться к такой схеме. Собственно, откуда появились мысли об одном адресном пространстве - до этого работал в крупной конторе, телекоммуникационном операторе, ну и само собой, занимался строительством сетей, причем, в основном, физической стороной вопроса - кабельное хозяйство, и т.д., хотя, в принципе, некие знания есть не только в том, как, куда и откуда положить волокно, какими оборудованием его оконечить, и что получить в итоге. Ну и собственно, корпоративная сеть была единой, с маской 255.255.254.0 - вот в связи с этим я и задумался - а почему бы нет. Правда, каналы были везде от 1G до 10G.
Всего записей: 23 | Зарегистр. 23-03-2011 | Отправлено: 12:16 02-12-2011
Farch



Silver Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
у меня 85к клиентов в сети
схема работает
телекому проще - они делают связь - а вот когда ты отвечаешь за клиентов это пичаль
(им ведь принтера файлы приложения нужны)
Всего записей: 3211 | Зарегистр. 25-12-2001 | Отправлено: 12:21 02-12-2011 | Исправлено: Farch, 12:25 02-12-2011
togacure

Newbie		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
"На сайтах как standalone подключаешь к основному" - т.е., роли вообще не назначать?
 
Добавлено:
речь идет об Altiris Server Management Suite?
Всего записей: 23 | Зарегистр. 23-03-2011 | Отправлено: 12:24 02-12-2011
Farch



Silver Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
"На сайтах как standalone подключаешь к основному" - т.е., роли вообще не назначать?  

в пм отправил инструкцию
 

Цитата:
речь идет об Altiris Server Management Suite?

http://www.symantec.com/business/configuration-management
 
с него будешь патчи програмки сервис паки и образа с виндовсом на клиентов заливать
а так же подключаться для администрирования к клиентам - на самом деле на цену не смотри ты сильно секономишь
по времени стабильности и не повериш по деньгам  
 
1.еще нужно подумать о бакапах  
(рекомендую все лить в центр и писать на ленты, но зависит от обьема и каналов)
2.программах мониторинга сети (у нас SolarWinds orion - для тебя будешь слишком дорого нужно искать простое решение)  
3.eventid с серверов (скорее всего они будут разными)
4.а также security,  
5. audit прав доступа на файловых серверах ( кто что читал, удалял, создавал)
6. аудит всех железяк софтвары серверов компов и тд тп - нужен будет Asset Manager - лучше брать как часть Altiris-а
7. контракты с оутсорсом на починку принтеров у которых кончилась гарантия (обычно долго живут заразы)
    на зарядку картриджей для печати
8. процедуры выполения правил (что у всех обновления стоят, бекапы исправно работают и их реально можно восстановить) аккаунты в домене никто не правит и так далее
9. voip телефония (ну глупо за связь обычную платить когда такое есть, ток атску для выхода наружу, внутри пусть так)
(здесь много не расскажу там не я занимаюсь - но в общем все просто)
10. телеконференции
 
одному это сделать можно - но займет оч много времени - отдай на аутсорс, а админить возьми как минимум еще 2х человек
если есть бюджет посади на каждый сайт студента или найми аутсорс по вызову, они же будут менять картриджи
(если клиенты наглые или деловые)
 
(ну опять же от старины техники денег и обьемов и растояний и каналов много что зависит)
 
вопщем покупай в центр стойку сразу если нет еще ;P
 
(граматнасть плахая да - я не совсем русский )
Всего записей: 3211 | Зарегистр. 25-12-2001 | Отправлено: 12:46 02-12-2011 | Исправлено: Farch, 12:59 02-12-2011
togacure

Newbie		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
спасибо огромное за направление
мыслей правильных прибавилось - буду потихоньку набрасывать план работы и двигать далее
есть еще одна идея - наиболее прожорливые вещи держать под Citrix'OM - опыт работы с ним есть, просто как-то расточительно на каналах в пару мегабит держать софт, при обращении к базе с каждого клиентского места съедающий по полмегабита канала - на 7-8 машинах идет обращение к базе - и все, приехали.
Пи попытке забрать почту кем-то из удаленных трудящихся, особенно, если большой объем - начинаются тормоза у тех, кто работает с базой.
 
 
Добавлено:
и еще один момент - лучше использовать DHCP, или все же статику?
Всего записей: 23 | Зарегистр. 23-03-2011 | Отправлено: 12:59 02-12-2011
Farch



Silver Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Пи попытке забрать почту кем-то из удаленных трудящихся, особенно, если большой объем - начинаются тормоза у тех, кто работает с базой.  

на микротиках есть QoS - поставишь там приоритет 1 для цитрикса и 8 для остального
все будет хокей
(правильное решение цитрикс - он траффик не жрет, но только в том случае хорошо работает если человек УМЕЕТ его администрировать)
 

Цитата:
как-то расточительно на каналах в пару мегабит

внутри VPN-а если не ошибаюсь можно включить сжатие траффика
 
2 мегабита до сайтов - плохо конечно очень
 
в таком случае нужно обязательно разбираться с приоритетами траффика и Squid (кеширующий прокси) нужен будет на всю контору (если у тебя интернет с головной конторы пойдет - потому что сайты можно подключить к интернету отдельно
 
вопщем уже вырисовываеться стоечка, tape loader, и два HP 380 g6/7 под VMWARE в центре
 
HP ProLiant DL380 G7 Server series
http://h10010.www1.hp.com/wwpc/us/en/sm/WF05a/15351-15351-3328412-241644-241475-4091412.html
очень толковая весч - тебе двух хватит на весь центр (второй запасной - на него вод вмварей перекинешь всю ерунду если первый шлепнеться)
(если нет денег то можно использовать вместо vmware ( http://www.vmware.com/products/vsphere/overview.html )
Xen Cloud - http://www.xen.org/products/cloudxen.html он бесплатный)  
но я крайне не рекомендую этого делать - выбивать vmware любой ценой!
 
HP ProLiant DL120 G6
http://h10010.www1.hp.com/wwpc/us/en/sm/WF05a/15351-15351-3328412-241644-3328421-3984621.html
а на сайты 1U можно взять чтонибудь или вообще не раковое
 
если клиентов к базе дофига не забывай про SSD диски они могут очень спасти (SLC только, MLC не бери только)
 
ну и конечно серверная кондиционеры сигнализация датчики температуры и огнетушители специальные
 

Цитата:
и еще один момент - лучше использовать DHCP, или все же статику?

при 500 клиентов?! статику?
только DHCP!  
(у нас практически запрещена статика)
Всего записей: 3211 | Зарегистр. 25-12-2001 | Отправлено: 13:06 02-12-2011 | Исправлено: Farch, 13:23 02-12-2011
togacure

Newbie		Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
стесняюсь спросить VMWARE - для реализации чего нужна?
цитрикс администь умею - под ним держал весь софт для техучета телекомовского хозяйства - для удаленного доступа, особенно из глуши - самое оно - шустро работает даже через VPN поверх мобильного инета (РРТР) - причем, ставил и настраивал все сам (2003 server + Citrix FR3 с 4-м сервиспаком) - отутюжить все заняло около недели, зато потом оценил что это за зверь такой чудный - на выезде сразу можно инфу в базу учета добавить, или наоборот, глянуть что нужно - а такое часто приходилось делать
 
насчет SSD - идея очень пользительная - учту
 
а почему спросил насчет динамики/статики - на данный момент почти везде статика используется, причем, местами, как-то странно розданная - адреса прописаны от фонаря  
Всего записей: 23 | Зарегистр. 23-03-2011 | Отправлено: 13:20 02-12-2011
Farch



Silver Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
а чуть не забыл еще
 
11. корпоративный антивирус
есть конечно множество тем на руборде о выборе но моя личная рекомендация
mcafee enterprise 8.5 (опять же сужу по своему опыту и количеству клиентов у нас)
впринципе даже аналогов не могу привести
 

Цитата:
стесняюсь спросить VMWARE - для реализации чего нужна?

нужна что бы снизить расходы и повысить надежность
на одном физическом сервере будет располагаться:
1. Altiris
2. AD (dhcp, dns)
3. File Server
4. Citrix
5. Linux / Squid
( то есть нужно будет купить 4 лицензии на Win2003)
 
В противном случае придеться покупать 5ть отдельных серверов
цена (5ти 1U серверов) и (2х 2U серверов + вмваре)
равна
 
но надежность, себестоимость администрирования и поддержки, удобство использования
масштабироемость без вмвары - Никакая - то есть она равна 0
 
в случае с вмварей тебе любая поломка любой части (как железной так и софтварной) будет до фанаря
она сразу заработает в другом месте
 
это при той же начальной цене и сниженной общей стоимости владения в расчете на года
Всего записей: 3211 | Зарегистр. 25-12-2001 | Отправлено: 14:11 02-12-2011 | Исправлено: Farch, 14:28 02-12-2011
bga83



Silver Member		Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
тогда вопрос встречный - как это было построено? оправдана ли куча промежуточных маршрутов и вагон серверов?

Решение было оправдано. По реализации: в одной конторе были циски и dmvpn, в другой шлюзы на FreeBSD (выстраивалась избыточная сеть, исходя из иерархии и гографического положения подразделений, с динамической маршрутизацией).  

Цитата:
 вот FreeBSD начинает ругаться на ошибки в файловой системе и приходится ехать фиг знает куда чтобы нажать пару клавиш, ибо народ на месте не знает что это такое.  

строка fsck_y_enable="YES" в rc.conf  способна творить чудеса в таких случаях
Всего записей: 2008 | Зарегистр. 30-11-2007 | Отправлено: 14:25 02-12-2011
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Пожалуйста, помогите с организацией архитектуры сети


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2025

LiteCoin: LgY72v35StJhV2xbt8CpxbQ9gFY6jwZ67r

Рейтинг.ru