Reprise du message précédent :
Offline

Norton ghost

Tanium Provision mais vu comment la plateforme utilise vbscript à fond ça posera pb aussi surement
 
Mais en vrai je continuerai d'utiliser MDT encore pas mal de temps

J'ai cherché un peu et j'ai découvert FriendsOfMdt/PSD, projet open-source qui vise à remplacer tout le vbs de MDT par du powershell.
Je decouvre probablement ça après tout le monde mais j'aime ce genre d'exercice
https://github.com/FriendsOfMDT/PSD

Petite question de gros noobs en réseau.
 
Contexte orienté PME (moins de 200 personnes):  
Je connais les archis ultra classique avec du routage inter-vlan via un/plusieurs lien trunk entre le switch - routeur/fw (router-on-a-stick).  
Dans les infra que je croise, le fw se charge de faire le routage inter-vlan, l'inspection des flux et le filtrage (port/protocole).
 
Pas de souci si ne n'est les problématique de goulot d'étranglement (et le spof )
Ex : Un vlan de prod et un vlan de backup -> Avec un port gigabit coté FW, ça le fait que très moyennement..
 
L'alternative la plus répandu semble le multilayer switch.  
J'ai simplement du mal à voir dans quel contexte cela peut s'appliquer.
Dans mon exemple de vlan de prod/backup, il me semble parfaitement nécessaire de continuer le filtrage par port/protocole (et dans une moindre mesure l'inspection des flux).
 
Comment ça se gère dans une infra moderne pour éviter les problématiques de bande passante ?

"Tout dans le Claoud" bien sûr !

- C'est le Klaoude maîtrisé !

Si tu veux faire du filtrage de type firewall même sur les flux backup tu n'as pas 36 solutions, il va te falloir un firewall...
Multilayer switch ça s'applique surtout dans les grosses infras, couplé à des VRF qui reprennent le rôle de segmentation que remplissent les vlans dans les infras plus simples type fw on a stick.
Multilayer switch sans VRF j'ai rarement vu ça utilisé pour du lan puisqu'il n'y a du coup plus de segmentation (et rien que pour l'admin du switch c'est déjà emmerdant).

Maintenant si tu es prêt à renoncer à la contrainte "firewall sur les flux de backup", alors une solution classique c'est d'avoir une deuxième interface sur tes serveurs (que de soit interface physique ou sous-interface 802.1q), un vlan correspondant sur les switches (ports en mode trunk donc), et machines de sauvegarde dans ce même vlan (ou avec au moins une interface dedans). Comme ça tes flux de sauvegarde restent locaux au vlan dédié, et tes autres flux continuent de passer par le firewall.

le DC FR-SD6 de Gandi en panne pendant 30h... la fin des haricots chez Gandi suite au rachat ?  

J'ai tout bougé de chez eux perso

je l'envisageais déjà un peu, mais là ça a fait remonter la priorité du projet d'un cran

Question :
Vous remplacez du matériel type serveur baremetal/appliance on-premise, dans le cadre d'un refresh hardware classique car le matos a X années. Même version software avant/après le refresh.

Vous :
A - utilisez un nouveau hostname + nouvelle adresse IP + reconfigurez tous les serveurs & clients qui l'utilisent pour s'adresser à la nouvelle IP
B - réutilisez le même hostname + même adresse IP, pas besoin de reconfigurer le reste
C - "ça dépend"
D - Obiwan utilise la force du cloud

Dans un monde idéal j'ai des alias vers l'appli/le serveur, donc je peu déployer le nouveau en avance avec un nouveau nom/nouvelle IP

Dans la vrai vie ça dépend, y a toujours des applis a la con avec des IP/noms qui ont été mis en dur, ou alors personne ne sait partout où il faudrait faire la modif.

Du coup : ça dépend

+1
 
ça dépend du niveau de maîtrise/automatisation du SI

ca dépend

Ça dépasse ?

Options B parce que je doute que tu puisses cartographier automatiquement.

 
T'as pas des DNS internes ?

Plot twist : il s'agit du rafraichissement des serveurs DNS eux-mêmes

Reprise des IPs existantes alors. Sinon c'est bien galère si pas d'automatismes.

Pour éviter tout FUD ou quoi, les retours concrets d'utilisateurs VMware (je fais traduire en FR pour modifier l'écriture aussi) :
 

 
On parle quand même de 50 machines, ce qui n'est pas gigantesque mais pas rien non plus

   
 
Une victoire est une victoire  

Pas d'IP avec du failover ou du loadbalancing ?

Le DNS est une techno bien conçue dès l'origine, elle n'a pas besoin de ce genre de bricolage  

Un gros fichier host pour l'ensemble des clients. Gain de fiabilité, moins de machines à gérer. Le voilà l'avenir.

partagé avec bittorrent pour que les mises à jour soient plus rapides  

et pas issu d'un excel sur office365 ?

C'est unerévolution

Dans ce cas précis je dirais osef du nom et reprend les ip, surtout si t'as moyen de confirmer avant qu'il n'y a de traffic entrant que sur le port 53 (au cas où un autre service oublié tourne dessus)

Si si, t'inquiète pas j'ai une idée assez claire de comment je vais procéder pour ces serveurs. L'IP de management va probablement changer pour pouvoir monter le nouveau en parallèle de l'ancien, tout ce qui est IP de service je conserve, ya tellement de trucs configurés en dur avec les DNS  
 
C'est une question générale que je me posais. Côté IaaC c'est facile de redéployer quasi tout from scratch parce que ça colle au concept. Quand c'est moins automatisé je me demandais les pratiques de chacun, je me suis déjà fait avoir dans les 2 cas :  
- IP conservée et nouveau serveur : ah zut on a oublié d'importer un certificat ou une clef, ça fait péter les communications avec tel ou tel autre serveur qu'on sait plus comment ça marche  
- Nouveau serveur, nouvelle IP : ça met 10 ans à migrer avec une période entre-deux interminable car les gens n'ont jamais le temps de reconfigurer leur système, ça se finit en ultimatum de couper le service dans 7 jours (en réalité plutôt 7 jours + 6 mois )

 
As planned  

Vates avec du support chez Plam?

avec l'option Kindly Support

Merci de ton retour.
On est rarement sur des grosses infra (loin de là).
L'interface dédiée est une possibilité.
 
Avant de regarder les produits réseaux cette année, j'avais naïvement en tête que des interfaces 10GE sur des boitiers FW étaient nettement plus répandu sur des gammes orientées PME.
Alors qu'on se traine encore du Gbe voir du 2,5 si le fabricant est grand seigneur

 
 
https://www.theregister.com/2024/02 [...] i_vsphere/

 
Sur des grosses infra, tu vas "souvent" retrouver des fabric vxlan avec ton firewall qui filtre en entrée/sortie de fabric et ensuite tu gères avec des vrf. Avec ça, tu vas juste être limité par la capa de tes liens.
 
Pour les firewalls, il n'y a pas de miracle, si tu veux de la grosse bande passante, il te faut du gros boitier    
 

 
Tu NAT tout en 1-pour-1 sur le firewall et tu le laisses en legacy pour les 30 prochaines années  

 
Fortigate 90G  

Après, faut voir quelles applications ont besoin de ce genre de débit dans une PME.
En dehors du backup généralement les serveurs applicatifs ça ne fait pas tant de trafic que ça.

 
Si tu choisis Forti, pense à prendre 2 boitiers pour la redondance. Sinon c'est chiant quand il faut tout couper pour patcher les failles critiques tous les 15 jours

Faut pas trop se fier à la vitesse des ports ceci dit, ce n'est souvent pas le facteur limitant le débit sur les firewalls.C'est pour ça qu'ils ont tendance à ne pas mettre des interfaces 10G partout d'ailleurs, ça ne servirait à rien

 
Après faut être honnête ça vaut pour n'importe quelle marque, sauf à avoir un kink pour le HNO