Du verwendest einen veralteten Browser. Es ist möglich, dass diese oder andere Websites nicht korrekt angezeigt werden. Du solltest ein Upgrade durchführen oder einen alternativen Browser verwenden.
Ich halte das irgendwie nicht für eine gute Idee. Dein Internetzugang ist dann unmittelbar abhängig von deinem Switch. Mir ist klar, dass dein Switch sowieso eine wichtige Rolle spielt, aber trotzdem finde ich es suboptimal, wenn du überhaupt kein Internet hast, wenn der Switch rumspackt. Abgesehen davon wäre mir der Switch zu sehr exponiert. Ich würde versuchen direkt mit dem Glas in die Firewall zu gehen. Aber ist nur meine bescheidene Meinung.
Wenn Du diese Anzeige nicht sehen willst, registriere Dich und/oder logge Dich ein.
Ja, das wäre auch eine Möglichkeit. Problem ist, dass ich bereits drei X540 in der Sense verbaut habe. Wenn ich da nochmal eine SFP+ Karte einbaue habe ich bisschen ein Problem mit der Kühlung. Da habe ich atm von den freien PCIe Slots her einen Venti drauf gerichtet. Habe eine 1HE Maschine auf einen Supermicro Tower umgebaut. Board ist ein X10SLH-LN6TF, das hat drei X540 fest verlötet. Das mit der SFP+ Karte in der Sense war ursprünglich mal gedacht, aber davon bin ich weg gekommen.
Dachte dann, ich nehme einfach einen Media Converter. Gemini meinte, der Switch sei sogar noch sinnvoller, weil ich im Dashboard noch den Link überprüfen kann.
Das wäre auch meine Hauptsorge bei dem Konstrukt. Gerade auch, weil ich mit Switches jetzt nicht sooo der Profi bin, da ist schnell was falsch konfiguriert.
Wie meinst Du denn das? Malware aus einem der VLANs hinter dem Switch? Das tun die eh andauernd, klicke ja grundsätzlich auf jeden Link und Anhang. Oder meinst Du eine Malware, die direkt auf dem Switch läuft? Sehe da jetzt keinen Unterschied, ob der Switch den Mediaconverter mimt, oder ob das ein zusätzliches Gerät macht bezüglich ob ich das mitbekomme. Habe eher Angst, dass ich was falsch konfiguriere und das Probleme macht.
Die Firewall zieht so zwischen 65-95W bislang, sollte sich also kühlen lassen. Wüsste aber nicht wie ich den Venti anders platzieren könnte im Tower, der wär jetzt ziemlich ideal angebracht. Im Moment steckt noch eine Quad NIC in den freien PCIe, die geht mir schon auf den Senkel weil sie den Luftstrom blockiert.
Ich meine schon den externen Traffic. Einen Switch derart zu exponieren erscheint mir sehr unorthodox. Ein Medienkonverter ist ja genau dafür gedacht transparent verschiedene Medien zu verbinden. Ein Switch ist eigentlich nicht dafür gedacht und durch Fehlkonfiguration, Backdoors oder Sicherheitslücken kann es schieflaufen.
Pro Seite ein LR SFP.
Gehen tuts auch erstmal ohne Dämpfung.
Wenn man das dann machen will, dann auf nur einer Seite pro Faser je ein Ding. Also z.B. 2 Stück für die 1930-Seite.
Naja, warum ist das unorthodox?
Sowas wird Millionenfach gemacht.
Da werden hunderte oder tausende Securityzonen auf Switches zusammengefahren, um sie dann auf Server oder Firewalls zu schieben.
Bei uns läuft der Verkehr für Firewalls über vorgelagerte L2/L3 Switche oder auch Router. Das ist also nicht zu komisch, wie man denkt.
Man sollte freilich wissen was man tut.
Es ist also durchaus ein üblicher Weg, sowas zu machen. Und dem Switch selber ist der Traffic erstmal egal, wenn man PPPoE oder sowas nochmal drüber fährt, sogar noch mehr.
Ein Switch ist nur dann exponiert, wenn das MGMT Interface exponiert ist. Ist es das nicht, ist das Ding einfach nur ein Paketschupser.
Was meinste, was beim Provider den Traffic handelt? Meinste nicht, dass da irgendwo auch Switche beteiligt sind?
Oder wie ist das bei Hostern? Meinste nicht, dass bei z.B. Hetzner nicht auch hunderte Switche verbaut sind? (die haben zig tausend Server)
Auf der anderen Seite ist ein 10GBE Medienkonverter nun auch keine riesige Investition.
Ist es tatsächlich ein üblicher Weg, dass ungefilterter, externer und gefilterter Traffic über den selben Switch laufen? Mir ist klar, dass interner Traffic auf dem Switch getrennt wird, aber irgendwie habe ich kein gutes Gefühl dabei, wenn der Core-Switch gleichzeitig ungefiltert im Internet hängt.
Wie stellt man das sicher? Besteht nicht die Gefahr, dass durch Fehlkonfiguration oder Softwarefehler doch ein externer Zugriff auf das Management möglich wird? Wenn man von einem IoT-VLAN oder Gäste-VLAN auf das Management zugreifen könnte, wäre es schon unschön, aber vom Internet aus fände ich es etwas dramatischer.
Ja, ist es. Wird in Redundanzszenarien für Geschäftskunden mit BGP Anbindung normalerweise genauso gemacht.
Die Dataplane ist da was Anderes als die Controlplane, das ist auch das, was @underclocker2k4 mit Mgmt-Netz meinte.
Ob man die Switche/Cluster noch für andere Zwecke nutzen möchte, bleibt dann dem Kunden überlassen. Die Meisten nutzen es noch als DMZ Switchcluster.
Habe auch noch im OPNsense Forum die selbe Frage gestellt. Die meinten auch "ja mach mal". Gibt offensichtlich sogar welche, die fahren WAN und LAN über ein einziges Kabel. Nennt sich glaube ich dirty switch, dirty WAN, dirty vlan bzw. router on a stick, so was ich gestern erfahren habe.
Pro Seite ein LR SFP. Gehen tuts auch erstmal ohne Dämpfung.
Wenn man das dann machen will, dann auf nur einer Seite pro Faser je ein Ding. Also z.B. 2 Stück für die 1930-Seite
Hatte gelesen, wenn die Dämpfung unpassend zu gering ist (zu hohe Lichtstärke), dass die Empfängersensoren schneller "verschleißen". Aber das wisst ihr sicher besser (die, die tagtäglich damit arbeiten)
Auf jeden Fall interessantes Thema...
@Dwayne_Johnson
Nominell passiert das nicht.
Fürs Gefühl hängt man da einfach 5dB rein und gut ist.
@craxity
Das hat nichts mit Vertrauen, sondern vor allem auch klaren Strukturen zu tun.
Nur weil man mit einem 200Port Switch alles machen kann, was man so können müsste, macht es ggf. doch Sinn, wenn man das doch mechanisch trennt.
Und ne DMZ ist eben die nächst größere Stufe nach "ist komplett öffentlich". Daher liegt es hier nahe. sich den extra Switch für sowas zu sparen und das zu konsolidieren. Und LAN ist dann LAN, mitunter sogar noch mehrfach auf einem internen Cluster getrennt. (verschiedenen Departments)
Wir haben auch etliche (ein paar Dutzend) Switch-/Routercluster, die getrennt für sich arbeiten.
Technisch kann man das auch auf einem großen (3-stellige Portanzahl) Switch zusammenfahren. Da gewinnt man durch Konsolidierung halt auch was.
Es gibt da kein richtig und kein falsch, wenn man es richtig umsetzt.
Erstens: gestern bei FS bestellt, heute schon da. Vom 23. auf den 24. Dezember!
Zweitens: Der LR Transceiver läuft im Aruba…
Drittens: …sogar als „generic“ codierter…
Viertens: …überraschenderweise sogar mit einem LRM Transceiver auf der anderen Seite (vermutlich, weil der auch mit 1310nm läuft). Hab trotzdem die Dämpfer drin.
Fünftens: Hab ein paar Dämpfer zu viel… hab 2 bestellt aber verpeilt, dass in jeder Packung 10 drin sind…
Sechstens: …ach, und ein LR-Transceiver und zwei LRM Transceiver (HP und FS „generic“) sind ebenfalls „übrig“. Naja, für die Ersatzteilkiste.
Muss aber nicht verstehen, warum der blöde Switch anscheinend den „Typ“ LRM nicht frisst?
Jetzt kann ich ein weiteres Gerät buchstäblich vom Netz nehmen: den Mikrotik CRS309-1G-8S+IN.
Hat mit Vertrauen nichts zu tun, bei vielen sitzt das Geld eben so locker, dass sie nicht schauen müssen, ob 2 zusätzliche Switchcluster für ihre WAN-Strecken das Budget dieses Jahr sprengen. Andere müssen mehr aufs Geld achten. Aber wenn das sogar KRITIS Kunden machen, die jedes Jahr aufs kleinste Detail auditiert werden, und das dort in Ordnung geht, dann reichts auch für den Heimgebrauch.
Der hat nur ein webinterface, da geht quasi gar nichts. Bei den größeren HPE kann man übers CLI nicht supportete Transceiver erlauben, bei den kleinen 1930 halt nicht (nix CLI).
Schalten gute SM-SFP nicht auch ein wenig herunter, wenn die Strecke sehr kurz ist?
Meine Ericsson geben jedenfalls sehr gute Werte aus, trotz vergleichsweise sehr kurzen Distanzen. Der Kumpel, von dem ich sie bekommen habe, sagte aber auch so etwas und dass sie sie auch im Zweifelsfall bei unter einem Meter nehmen, wenn nötig - ohne Dämpfung.
Bitte nicht lachen wegen der oversized Sense und den Cat5e Kabeln. Das macht schon Sinn so. Fehlen noch zwei Switches, AP, Shellys, ganz viele Kabel und Stecker. Aber die Sense und der Core Switch warten schon sehnsüchtig auf den Umbau. Lab Sense hat alle VLANs aufgelegt, NAT, wie gesagt KEA mit den finalen Hosts, Aliasen, die meisten FW Regeln; steht schon seit ein paar Tagen. Heute mal auf dem frisch eingetroffenen Core Switch die ganzen VLANs und so angelegt, lüppt supi. Im Moment hängt da halt nur ein getaggter ESXi zum testen dran. Was soll ich sagen? Super geil!
Fröhliche Weihnachten, ich beschäftige mich noch bisschen mit pingen. Und ja Ihr Spassbremsen, habe die ganzen Win 7 Firewalls jetzt auf aus. Das tu ich mir nicht nochmal an.
Noch was, wo Ihr sicher lachen werdet: obwohl ich schon seit 2010 rum Firewalls und managed Switches betreibe. Aber ohne die KI hätte ich das nie im Leben hin gekriegt. Die labert auch ganz schön viel Müll. Aber für das Projekt war/ist Gemini eine echte Hilfe.
Das geht echt langsam von Bastelbude Richtung Datacenter. Und ja, bin noch lange nicht fertig. Omg, wollt Ihr nicht wissen.
Weil es Typen an SFPs gibt, die z.B. das Power Budget des Ports überlasten, z.B. ER oder ZR.
Um also der Dummheit des Users vorzubeugen, checkt man eben, was da an Typ drinsteht.
Und da ist eben ganz simpel SR und LR gewhitelistet.
Und SFPs, die nicht gewhitelistet sind, gehen dann eben nicht.
Und so ist das eben auch bei deinem SW.
LRM ist maximal untypisch.
Bei Aruba gibt es Geräte die unterstützen die gar nicht, andere erst ab einer gewissen Firmware (die hat man nachgetestet und dann eben freigegeben) und andere tun das eben komplett, von Anfang an. Und dann gibt es so faxen wie, bei dem einen Switch der Serie in den und den Ports und bei den anderen in allen.
Ein Großteil unserer Switche unterstützen die gar nicht, zumindest bis heute. (und das sind aktuell laufende/neusten Geräte)
Nicht ohne Grund haben die Hersteller ausgiebige Beschreibungen, welcher SFP wann wie in welchen Geräten laufen.
Für dich wäre folgendes hilfreich gewesen.
Und steht eben nur SR und LR drauf. Hier geht es explizit um den Typen an SFP.
Oben drauf kommt dann noch die Filterkodierung. (und die gibt es bei den Geräten in dem Fall nicht, hatte ich ja geschrieben)
Da geht für die LRM SFPs aber auch nicht überall.
Also selbst mit UT Command kann man das ggf. nicht überschreiben.
Und die InstandON haben immer "unsupported transceiver" aktiv, deswegen frisst der auch generische SFPs.
Das ist aber eben die "ich mag meinen Hersteller Kodierung" und nicht die technische Filterung.
@MrWahoo
Power tuning machen die SFPs nicht.
Die haben einfach eine allgemeine Streuung in der Fertigung und die ist nicht zu knapp. Und die obere Grenze liegt oftmals auf dem Wert für die max. Empfangsleistung.
Das heißt nicht, dass das (ohne Dämpfung) nicht gehen würde, es ist einfach nur so, dass eben einen Grenzfall gibt, wo das eben Probleme geben könnte. Dazu hatte ich ja schon was geschrieben.
@ all
Was genau soll eigentlich der Unterschied zwischen RTL8127 AT und ATF sein? Ist das eine low power Version für embedded? trade off mit 20% weniger Leistung (weils reicht) dafür aber 50% weniger Verbrauch? Oder... "Spezialisiert für Glasfaserverbindungen", beudetet? Der kann nur LWL SFP+ bedienen bzw. dies und fest mit verlötet auf dem Board?
Auch interessant, daß sie von den Treibern so viele in "not support power saving" haben. Weil? (Linux/FreeBSD Versionen <200KB )
edit:
Einen spy on hätte ich aber Da ist rechts eine braune Flasche mit nem roten Verschluss und vor ihr ein Monitor. Was aber ist das silberne Teil zwischen den beiden? Sieht aus wie ein Bühnenmikro aus den 60ern
In diesem Bericht von der Computex 2025 wird eine "Realtek RTL8127ATF card with SFP cage" erwähnt. Wenn das keine Ente ist würde ich vermuten, die ATF Variante setzt SFP+ auf 10GBaseT um . Deswegen auch die geringere Leistungsaufnahme im Vergleich zu PCIe Varianten . Da aber keine Datenblätter zu finden sind ist das auch nur Spekulation.
Edit :8127 und 8127AT unterscheiden sich durch die Anzahl der PCIe Lanes. Bei der AT Variante werden 2 PCIe Lanes herausgeführt . Damit auch mit PCIe3 noch genügend Bandbreite für 10GbE zur Verfügung steht.
Wieviele VLANs hast Du denn Mr. Wahoo?
-
kommt ja immer ein bissl auch darauf an, was man machen möchte und ob alles übern Switch läuft - HA lass ich aber z.B. wenn möglich immer im Direct-Link, da spar ich mir das VLAN.
Home /24, IoT /24, LAN /16, DMZ1 /24 & DMZ2 /24, "WAN1"/24, Guest/24, MGMT/28 und neu jetzt dann KI /24
SAN /24 ist ne eigene Hardware - war früher mal ein eigenes VLAN auf dem Switch.
Macht auch 9(10)
Wenn ich irgendwann mal nen Glasfaser-Zugang bekomme, wird das "WAN2"
-
DMZ1 und 2 gibt es aber nur auf dem ESXi - da hängt kein physisches Interface dran.
Aktuell läuft bei mir noch ein MikroTik CRS326-24G-2S+RM
Aber demnächst brauch ich noch 2 weitere 10G Steckplätze.
Hatte früher alles mögliche gepostet zu meinen Netzwerken. Ja, bin schon wochenlang mit Excel und Visio am planen. Aber möchte das möglichst geheim halten in Zukunft. Nicht mal gemini durfte genaueres erfahren bezüglich Topologie, Ranges und VLAN Zuordnungen.