Reprise du message précédent :
Bah wé, c'est franchement un vulgaire switch que j'avais sous la main pour tester

ah mais y a une image jcomprenais pas

Pour en avoir passer récemment, cette méthode de gruge devient de plus en plus difficile

Boh tu sais j'ai bien un stagiaire qui bosse sur un hub 10Base-T  

Va y colle lui du BNC il sera a jour niveau techo  

Très bien le hub pour sniffer
Chanceux ce stagiaire

XaT

Y a un port BNC et même un port AUI

ah les fameux switch gris 5 ports adaptateur base10/coax

Je dois toujours avoir chez mes parents un hub 3COM 12 ports ethernet + port AUI

Utile pour débuger certains trucs sans faire du port mirroring  
 
XaT

De moins en moins Avec un port-mirroring tu vois quand même pas mal de trucs, et avec 10Mbits/s tu vas pas loin si c'est pour troubleshooter des pb de qualité et de saturation de lien  
Pis un mirroring sur un switch Cisco ça se fait en 2 commandes donc bon, tu mets + de temps à te logger et chercher l'interface qui t'intéresse qu'à l'activer

J'ai relu ta description initiale en regardant le schéma, ou "les" schémas, j'arrive toujours pas à percuter tous les éléments  
 
Ya plein de trucs, ya trop de trucs, je pose mes constatations en vrac et des questions en espérant que ça s'organise au fil des idées :  
Tu as un seul firewall ou deux ? Ton schéma c'est "situation 1" versus "situation 2" ? J'ai tendance à penser ça car ce sont les mêmes IPs qu'on retrouve en haut et en bas, mais pour faire du VRRP il faut plusieurs routeurs (ou FW, c'est un routeur évolué ) donc... je demande  
 

• VRRP : ça sert à faire "flotter" une IP entre 2 équipements, actif/passif. On est à la couche 3 OSI (réseau).  

- C'est toi qui a du VRRP ? Vu que c'est SFR qui parle de version 2, j'ai plutôt l'impression que c'est SFR qui le fait entre ses 2 équipements. Et du coup ça semble logique qu'ils doivent communiquer entre eux directement, d'où le fait qu'ils te bassinent car leur équipement .147 ne peut pas causer à la .146 pour faire "flotter" la .145 de leur côté  
- Et la .149 c'est ton firewal c'est juste ? J'ai l'impression d'y voir un peu plus clair  
- Merci pour les masques, effectivement tous les hosts du subnet peuvent être adressés de .145 à .150. Ça signifie un truc : tout ce petit monde doit être dans le même domaine de broadcast, on pourrait dire aussi dans le même vlan... ou dans le même switch, ici très astucieusement représenté par le "switch à la con" Il est plus utile que tu ne pensais hein Pour faire l'équivalent sur ton firewall, soit ton firewall supporte le switching de vlan, soit faudra faire une manip à base de bridge entre les interfaces (attention aux perfs/CPU), ou tout simplement coller les 3 ports "DSL" + "Fibre" + "Firewall WAN" dans un vlan sur un switch manageable et c'est réglé pour le VRRP géré par SFR.  
- SFR indique superviser via ICMP, voire même SNMP. A voir si tu les laisses poller ton équipement en SNMP, ça serait un peu spécial par contre le ping de supervision oui c'est monnaie courante donc autoriser ton interface firewall-WAN à répondre aux pings depuis les IPs de supervision indiquées par SFR  
 

• LAG : ça sert à regrouper 2 liens physiques en un seul lien "logique". Avantages : augmenter la bande passante globale en équilibrant la charge sur plusieurs lien en simultané (attention, 1 transfert sera quand même capé à maximum la vitesse d'un seul lien physique), et redondance car si tu perds un lien tu perds à peine 1 ping que tout le traffic passe physiquement sur l'autre lien. Ici on est à la couche 2 OSI (liaison), il n'est pas question d'IP.  

- Il sera où le LAG ? Je vois bien un LAG (LACP) côté LAN vers ton infra (le "CR" ?), c'est logique si tu veux faire de la redondance, pour du load-balancing il faudrait que ton côté WAN supporte + que 1Gbps.  
Mais tu as parlé de LAG WAN, là ça devient funk Ça existe mais il faut que les équipements en face fonctionnent sous forme de "fabric" ou de cluster, comme si c'était un seul équipement, et faire du LACP sur des media physiques différents (fibre versus DSL), on entre dans une nouvelle dimension  
Cisco fait des trucs mLACP pour monter des liens LACP vers des châssis différents, on a testé sur du gros gros matos, on s'est cassé les doigts, mordu les dents, ou l'inverse, bref on a fini par monter de l'OSPF classique sur divers aggrégats LACP classiques à la fin pour que ça fonctionne de façon tout à fait correcte et classique  
- SFR te propose de monter en LACP vers ses équipements .146 et .147 ? Si c'est vraiment le cas, alors pose un switch manageable à la place du switch à la con  
=> permettra le vlan dédié WAN pour faire fonctionner le VRRP  
=> permettra de monter la session LACP entre le switch et leurs 2 équipements, bien plus facile à configurer sur un switch que sur un routeur, et sur un switch à la con t'oublie de faire du LACP  
 
Euh voilà, c'est tout pour l'instant

Hello

Merci pour ta réponse.
Donc dans l'ordre.

Sur le schéma, je n'ai représenté qu'un seul FW. Oui, celui du haut c'est situation 1, celui du bas c'est situation 2.
Désolé j'ai fait vite pendant ma pause entre midi et deux..
Dans la réalité, j'en ai deux, un actif, un passif, qui seront connectés entre eux.
Je dis "seront", car c'est pas fait, c'est un autre sujet, je compte résoudre un problème après l'autre.

C'est SFR qui nous met à disposition un lien SDSL + Fibre en VRRP.
Nous on est sensé utiliser directement la passerelle en .145.
J'avais bien compris qu'il fallait que leurs équipements (en 146/147) devaient se parler.
Moi je ne comprends pas pourquoi ça ne se parle pas via le parefeu.

Le 149, c'est l'ip publique de notre pare-feu.
Nous avons également la 148 et la 150.
C'est pour cela aussi je pensais gérer ce fameux LAN directement depuis le watchguard.
Je pense que le parefeu (M470) gère le switching de vlan
Le problème du switch, c'est que l'on rajoute un équipemet non redondé.
Si celui-ci tombe en rade, je n'ai aucun secours.
Idéalement ce que je souhaite, c'est garder au moins une redondance.
Donc, typiquement, si j'arrive à utiliser le VRRP en me passant du switch, j'aurai la configuration suivante :
- si la fibre tombe (routeur, lien, etc.), j'ai la SDSL en secours (idem)
- avec le pare-feu en cluster actif/passif (pas configuré encore car y a d'autres étapes avant), si le pare-feu tombe, j'ai le passif qui prend le relais
- comme tu as pu le voir, j'ai un LAG LACP du pare-feu jusqu'au CR de réseau ; ce qui veut dire, si j'ai un coeur de réseau qui tombe, l'autre a toujours accès au net

Effectivement pour le ping, il doit manquer un paramètre.
Je parle de LAG WAN pour une simple raison, d'après un ingé Watchguard, c'est la seule façon (côté paramétrage) de faire communiquer les deux interfaces entre elles sur le parefeu.

J'ai une alternative, mais aussi contraignante que le switch (si ce n'est pas plus), je peux refaire partir le lien SDSL/Fibre vers mon coeur de réseau, dans le même VLAN et le faire revenir vers mon pare-feu (toujours le même VLAN).
Problème :
- si je branche ces liens vers un seul switch du CR, s'il tombe, plus de net
- si je branche un lien vers un switch et l'autre sur un autre switch, si l'un tombe, on perd soit l'adsl, soit la fibre (ce qui serait couillon vu que la fibre marche)

A terme, ce que j'aimerai, mais ça rejoint ton dernier paragraphe et je fabule probablement, c'est d'avoir :
- 1 gros lien VRRP (2 liens fibre, 2 liens SDSL) que je puisse redispatcher sur 1 parefeu actif, et l'autre sur le parefeu passif

Merci

ok jcapte rien en fait

Han, un SCHEMA §§!  
M'enfin j'ai la flemme de lire tout ça
 
XaT

J'croit que j'ai compris, mais que ça colle pas avec comment t’essaie de le faire (/captain obvious).
T'a quoi comme conf côté pare-feu ? Genre, t'a pensé à mettre les deux interface dans un bridge tout simplement ?

Non je n'ai pas testé en mode bridge, j'ai pas été jusque là, je suis resté dans le domaine des interfaces "externes" que me proposait la conf du WG.

nan mais tu met l'un sur wan1, l'autre sur wan2, et dans le bordel tu relis les deux coté soft, c'est son putain de job

Avec du fail-over manuel ?
C'est ce qu'on avait fait avant de faire marcher le VRRP.
 
T'as pas la redondance côté WAN.
Par exemple, si je veux taper depuis l'extérieur sur le .149, si coupure réseau il y a, la .149 n'est plus accessible, je vais basculer sur la 150.
 
Ah et bonus, mon ip secondaire (la 148, qui me sert pour les flux entrants de management) n'est pas affectable (WG me dit que l'IP est déjà dans un pool..)

nan pas manuel, l'appliance n'a pas une mini couche de routage pour ces cas de figure ? sinon t'es baisé faut que tu rajoutes un equipement actif pour le faire, et le fw n'aura qu'une passerelle, celle de l'agrégat de tes liaisons, 2 ou 10.

Hmm non pas sûr que j'ai cette possibilité (si j'ai bien compris ce que tu veux dire).
J'ai des options de FO, mais je crois pas qu'il y ait la possibilité de router la .149 sur la même interface que la liaison de backup de telle sorte que la 149 soit toujours accessible.

et par actif j'entends rajouter un routeur entre les deux sorties et le watchguard mais ca parait un peu gros spour ca que jcomprends pas pourquoi ton truc le ferait pas

TL;DR perso

Oui tu peux meme en mettre plusieurs de memoire, tout comme des reseaux vmotion (pas essayé sur 6.x mais sur 5 j ai deja vu des malfaçons niveau conf a cause de ca )

Y a pas aussi que ton WG ne laisse pas passer oar défaut le multicast ? Comme dit ptitbeur c est pour leurs routeurs or ton UTM doit les ignorer, alors que sur un switch moisi ca passe forcément
T as moyen de faire une capture de paquet pour ur voir ?

Ce que tu appelles "CR" en fait c'est un cluster de 2 switches actif/actif ? Ou actif/passif ?  
Si oui en actif/actif, ton alternative est intéressante car c'est équivalent à poser un cluster de 2 switches (donc un gros switch redondant) entre tes firewall et les 2 accès fibre et SDSL.  
C'est bien d'optimiser l'architecture mais faut pas non plus demander la lune en HDR 4K, à un moment tu vas tomber sur une limite de redondance : le routeur fibre n'est pas redondant, s'il s'éteint, bye bye la fibre  
 
Sur ce setup :  
- 2 FW actifs  
- 2 switches "CR" en cluster actif/actif  
- LACP actif/actif entre chaque FW et le cluster de switches (1 lien par switch pour chaque FW, soit 4 liens dans 2 agrégats distincts)  
- 1 seul VLAN qui représente le WAN, pour le VRRP SFR. Là ton switch "CR" il devrait laisser les équipements SFR causer entre eux, parce que ton FW j'ai un peu l'impression que c'est la misère à configurer pour ça et que c'est ce qui fout le bordel depuis le début  
- 1 ou plusieurs VLAN côté LAN, comme d'habitude, sur ton lien LACP existant (qui n'est pas le même que le lien LACP WAN)  
Si un FW tombe, l'autre FW devient actif, il a accès au même vlan WAN, mêmes routes, même routeur fibre, ok  
Si un switch tombe, soit c'est celui du routeur SDSL, soit celui du routeur fibre. Avec le VRRP, la connectivité internet est assurée, mais pas forcément que ce soit sur la fibre. C'est la limitation, tu ne seras pas redondant là-dessus à moins que le routeur fibre n'ait la possibilité de faire aussi du LACP vers ton cluster de switch. Après, c'est vite fait de swapper le câble du routeur fibre et celui du routeur SDSL  
Si un routeur fibre ou SDSL tombe, le VRRP fait basculer l'IP sur l'autre, le fait que les switches soient en cluster fait que ça n'implique pas de bascule de FW de ton côté  

Le tout branché sur une même arrivée électrique ou onduleur, et sans ATS

Of course, et juste à côté de l'arrivée d'eau

6000 lignes dans la feuille excel du plan d'adressage IP.
 
qui dit mieux ?

quand un ilo vous remonte storage controller failed avec une croix rouge mais aucune info, aucun code d'erreur, aucun event dans les logs ni dans hpssa, et les volumes bien accessibles, c'est quoi le projet ?

 
c'est sa façon a lui de te dire de mettre à jour ses firmwares
 
proliant gen9? modèle smartarray?

 ProLiant SL4540 Gen8
Smart Array P420i Controller
 
sur carte additionnelle

Carte raid qui est mal en point ou batterie hs ?

rien dans le soft hpssa, rien dans les logs ilo
 
on va bien voir ce que le mainteneur en pense

Je suis une merde en téléphonie, ça tombe bien j'ai pas à m'en occuper, ni personne dans mon organisme, c'est un autre truc qui s'en occupe.
Bon on m'a viré ma base DECT sur analogique pour la remplacer par du SIP, ça me va.  
Par contre je peux pas appairer mes vieux téléphones DECT.  
Normal ?
 
La base est une Yealink W52-P http://www.yealink.co.uk/W52P-Dect
J'ai un combiné fourni avec, aucun soucis pour lui.
 
XaT

Enfin ça appaire, mais bon il se passe rien derrière  
 
XaT

 
Logs IML inclus ?

bah il faut qu'ils soient compatible SIP. Cela ne doit pas etre le cas

Nop ce sont de vieux analogiques. Je me disais p'tet que la base convertissait
(Je savais pas que le dect pouvait faire ça )

XaT

Mais la.base elle.ne sait pas qu'il faut être connecté a autocom. Vu qu'elle est autonome

Autowat ? Ouais bon j'ai capté qu'il fallait prendre des téléphones en plus, je vais m'arrêter là
 
XaT