Firewall

Den letzten Außenposten eines Unternehmensnetzwerks bildet die Firewall. Auch sie kann einzeln oder im Verbund verwendet werden, allerdings gibt es hier keine Out-of-the-Box Lösungen, die nach wenigen Minuten funktionieren. Das liegt weniger an der weit höheren Komplexität von Firewalls, die wesentlich mehr Funktionen abdecken als Switches. Eine einzelne Linux-Firewall mit IP-Tables / Netfilter kann wie zu Beginn des Artikels mit einem Server und ausreichender Anzahl Netzwerkkarten leicht realisiert werden. Allerdings ist in diesem Fall die Firewall-Hardware und damit der Firewall-Dienst nicht redundant.

Eine einfache Lösung für höhere Verfügbarkeit wäre ein zweiter Standby-Server, der über Remotemanagement (zum Beispiel iDRAC, iLO, IMM) in Betrieb genommen werden kann. Der Nachteil einer spürbaren Downtime liegt bei dieser Lösung auf der Hand. Diese einfache Lösung bietet allerdings den Vorteil, dass man sich nicht um die komplexe Konfiguration eines ausgewachsenen Clusters kümmern muss.

Alternativ gibt es in der Open-Source-Welt mit Carp vom OpenBSD-Projekt seit Jahren eine Lösung, die in Kombination mit »pfsync« eine hochverfügbare Firewall realisiert (siehe [4]). Carp wurde auch auf Linux portiert, sodass nicht zwingend OpenBSD zum Einsatz kommen muss. Anbieter hochwertiger kommerzieller Firewalls bieten derartige Hochverfügbarkeitsfunktionen natürlich ebenfalls.

An dieser Stelle stellt sich fast zwangsläufig die Frage nach einer redundanten Internetanbindung, da sich ein einzelnes "Internetkabel" nicht an zwei Firewalls anschließen lässt, es sei denn, es kommt wieder ein Switch vor den Firewalls zum Einsatz. Der Provider müsste also zwei Kabel zum Kunden bereitstellen, die im Idealfall über verschiedene Wege zum Peering Point des Providers führen.

Fazit

Hohe Verfügbarkeit im lokalen Netzwerk muss nicht aufwendig oder kompliziert sein. Für hochverfügbares Internet muss der Provider entsprechende Angebote haben. Open-Source-Betriebssysteme bringen alle benötigten Features für den LAN- und WAN-Bereich mit. Wer bisher Spanning Tree & Co im LAN gemieden hat, der kann mit Stacks sehr einfach die Verfügbarkeit erhöhen, ohne Gefahr zu laufen, durch Fehlkonfigurationen letztendlich die Verfügbarkeit sogar zu verringern. (ofr)