Имеющийся брандмауэр — EFG

Имеющийся брандмауэр — EFG, UniFi Network

itservices-4316

Guest

16.09.2025 20:23:00

Привет, кто-нибудь смог запустить такую топологию?

Интернет-канал > Брандмауэр (не-Unifi оборудование) > EFG / UDM PRO > UniFi коммутация > Клиенты

Клиент использует бессерверную архитектуру и не хочет размещать приложение UniFi Network на отдельном компьютере.

itservices-4316

Guest

09.12.2025 20:03:00

Первый этап, к сожалению, оказался разочаровывающим — и честно говоря, довольно хаотичным. Многие известные мне школы в итоге закупили по две или три коммутатора HPE Aruba 6405 с высокоскоростными соединениями для VSX, что создало проблемы. Им можно дать должное — они извлекли уроки из этого. Второй этап принёс намного более строгий контроль над тем, что можно закупать, и, что самое важное, расширение возможностей выбора поставщиков стало существенной победой для школ.

Обновление для всех: весь сетевой стек уже построен, включая канал связи с плоской сетью, и всё работает как ожидалось — даже с интеграцией FortiGate. Единственная проблема, с которой мы столкнулись, была с Shadow Gateway, где автоматическое переключение не синхронизировалось корректно. Однако теперь, когда устройство прошло RMA и вышло обновление прошивки, мы надеемся, что это будет решено.

Ещё лучше новость: мы берём на себя поддержку школы, так как они хотят разорвать текущий скользящий контракт с нынешним MSP. Они будут продолжать платить за интернет-канал, но больше не будут использовать FortiGate — по сути, это даёт школе полный контроль и видимость их сети.

Мы просто ждём момента для переключения, но я считаю, что это произойдёт только когда мы получим полный контроль с доступом к серверам, тогда «плоская сеть» окончательно исчезнет.

FlamingBadger

Guest

10.11.2025 22:48:00

@itservices-4316 Да, было совершенно понятно, что первые пару волн программы Connect the Classroom писались специально под Meraki с 10-летней лицензией. Это было идеально для моего предыдущего работодателя и отличное предложение для школ... пока не истекают эти 10 лет

itservices-4316

Guest

10.11.2025 20:46:00

@FlamingBadger Спасибо, мы будем держать всех в курсе, как обычно. Ты прав, SKU, которые предложили Cisco Meraki и HPE Aruba, на самом деле не соответствовали стандартам DfE и к тому же съедали большую часть бюджета. Но, конечно, DfE в первом периоде финансирования разрешил работать только с «Cisco Meraki и HPE Aruba» — они не допустили к участию в этом процессе никаких других поставщиков. Позже, когда несколько школ указали, что через 10 лет они не смогут позволить себе возобновление лицензий на ПО вроде ClearPass или Cisco Meraki switching, несмотря на то, что и HPE Aruba, и Cisco предлагали им контракты на 10 лет, нужно было платить только за 5 лет. Также важно присмотреться вокруг. Мы видели, что некоторые школы выбрали путь с Zyxel и TP Link Omada.

itservices-4316 Guest	#5 10.11.2025 20:42:00 @sirket Как бы я хотел, чтобы школа смотрела Peppa Pig при 400 Гб, ха-ха!! Пеппа и её семья будут летать на всей скорости.

FlamingBadger Guest	#6 09.11.2025 21:24:00 @itservices-4316 удачи с проектом. Приятно видеть, что вы внедряете в школу решение, которое стоит дешевле и при этом не уступает Aruba/Meraki по функциональности.

FlamingBadger Guest	#7 09.11.2025 21:22:00 Ты прав!

sirket

Guest

09.11.2025 20:14:00

Ugh, прости, это действительно досадно. Мне нужно было сразу понять, что это устаревший приказ свыше. Я честно надеюсь, что эти группы будут идти в ногу с временем, потому что было бы отлично иметь возможность запустить 400Gb через несколько лет без необходимости менять всё только что проложенное волокно.

itservices-4316

Guest

09.11.2025 19:44:00

Ты прав, технически OS2 был бы предпочтительнее, но, к сожалению, школы в Великобритании должны придерживаться требований DfE и того, что они установили, особенно сейчас, когда это вступит в силу к 2030 году. Если DfE устанавливает этот тип технологии, у них просто нет выбора. Конечно, они могут подделать данные в гранте при подаче заявки или демонстрации технических результатов, но я бы этого не рисковал. Было уже много попыток других школ включить оптоволокно OS2 в грант, и все они были отклонены. Много школ в Великобритании вообще не имеют OM3 (редко, но это факт). Как я уже сказал, это просто обновление по проекту, которым я хотел поделиться. Это не будет обсуждением того, что правильно, а что нет.

sirket

Guest

#10

08.11.2025 22:53:00

Понимаю, просто мне кажется, что экономия затрат настолько минимальна по сравнению с тем, что они уже тратят на оборудование, что это просто не стоит компромисса. Они могут купить высокачественные трансиверы 10GBase-LR по 15 долларов за штуку в наше время — практически по той же цене, что и 10GBase-SR, а волокно само по себе стоит почти столько же, что для этого бюджета было бы просто округлением ошибки.

FlamingBadger

Guest

#11

08.11.2025 22:35:00

Судя по состоянию некоторой инфраструктуры, с которой я столкнулся в британских школах, OM4 и 10Gbps сетевые решения — это огромный скачок вперед по сравнению с тем, что у них есть. Я согласен, что OS2 намного более продвинутая и так далее, но даже небольшое снижение стоимости может склонить чашу весов в пользу проекта в условиях нынешнего финансового кризиса.

sirket

Guest

#12

08.11.2025 22:09:00

Зачем ты устанавливаешь многомодовое волокно в наши дни? Если ты уже платишь за установку волокна, установи OS2 одномодовое волокно. Разница в цене минимальна, а OS2 волокно намного более производительно. OS2 одномодовое поддерживает BiDi, WDM и обеспечивает скорости 100Gb+ на большие расстояния. Годы назад, когда приемопередатчики SMF были намного дороже многомодовых, ладно, но в наши дни? Устанавливать новое многомодовое волокно — просто пустая трата денег.

itservices-4316 Guest	#13 08.11.2025 21:53:00 Делюсь небольшим обновлением — мы начали развёртывание этого проекта, и в целом всё продвигается хорошо. Правда, пока ещё не всё завершено, так как мы ждём, когда будет готова инфраструктура CAT 6A и OM4 Fiber. После обсуждений с руководящей командой школы (SLT) было решено создать новую сеть, которая будет работать параллельно с существующей, чтобы школа оставалась полностью функциональной во время переходного периода. Текущая сеть построена по плоской схеме, но чтобы соответствовать требованиям Министерства образования Великобритании (DfE) — особенно касающимся сегментации сети — нам необходимо придерживаться их рекомендаций. Мы попросили поставщика управляемых услуг (MSP), который отвечает за FortiGate, создать новый физический интерфейс со статическими маршрутами, настроенными и активированными на этом интерфейсе. Однако, поскольку MSP не предоставил нам временный доступ для самостоятельного выполнения этих изменений, ответы и действия заняли несколько дней. Неуправляемый коммутатор находится между FortiGate и кластером EFG, создавая приватный сегмент WAN. Оба устройства EFG подключают свои двойные WAN-порты к этому коммутатору, при этом поддерживая отдельную физическую линию Port 2-to-Port 2 для HA-пульса и синхронизации конфигурации. Изначально эта схема привела к сценарию с двойным NAT, что было далеко не идеально. По рекомендации Ubiquiti мы отключили глобальный NAT на EFG, позволив трафику UniFi проходить напрямую через FortiGate для надлежащей обработки. Единственная заметная проблема, с которой мы столкнулись, связана с функцией Shadow Gateway на EFG. Мы уже инициировали и получили одобрение на RMA для повреждённого устройства. Несмотря на множество попыток — включая сброс к заводским настройкам, восстановление и переключение ролей Primary/Secondary — функция High Availability/Automatic Failover просто не работала так, как ожидалось, но всегда оставалась в состоянии синхронизации.

Читают тему (гостей: 2)