два туннеля между двумя Altell

[dmitriyc]

добрый день.

есть два офиса, в каждом есть на выходе по железке Altell.

между ними поднят туннель gre на ipsec.

(для удобства) на второй точке появился дополнительный интернет от другого провайдера.

возник вопрос - можно ли поднять дополнительный туннель со второй точки на первую через новый интерфейс (нового провайдера) в виде failover?

т.о. на первой точке 1 IP, на него со второй точки два gre ipsec с двух портов/двух IP. трафик по приоритетному туннелю, через другой только при падении первого.

[dmitriyc]

ну или хоть покритикуйте если тема дурацкая))))

[lugoblin]

Что за железки Altell я не знаю, но, в принципе, то что вы описываете сделать можно, если устройства не кастрированные.

Звучит это гораздо привлекательнее и разумнее чем может оказаться на практике. Для самообразования пойдёт. Для промышленного решения понадобится много тестов покрывающих разнообразные нюансы, обычно легче руками переключить.

[jffulcrum]

Можно. У её унутре Linux, подвергнутый вивисекции, но тем не менее. Создаете вторые туннели, и статические маршруты с ручной административной дистанцией, все есть в букваре.

[myst]

7 часов назад, lugoblin сказал:

Что за железки Altell я не знаю, но, в принципе, то что вы описываете сделать можно, если устройства не кастрированные.

Звучит это гораздо привлекательнее и разумнее чем может оказаться на практике. Для самообразования пойдёт. Для промышленного решения понадобится много тестов покрывающих разнообразные нюансы, обычно легче руками переключить.

Да и на практике это вполне разумно и удобно и ньюансов там нет. Вот какраз "переключать руками" это очень и очень глупая затея.

 

[dmitriyc]

спасибо всем, буду реализовывать, единственно вопрос в том, что все статик роуты завязаны на Lo интерфейсах, не зависящих от внейшних ip, внешние ip означены только внутри конфигурирования самого туннеля в виде

set vpn ipsec site-to-site peer tunnel1 remote-ip '12.34.55.66'

что было выполнено и настроено согласно вышеуказанному Букварю

Edited December 17, 2020 by dmitriyc

[dmitriyc]

12 hours ago, jffulcrum said:

 статические маршруты с ручной административной дистанцией, все есть в букваре.

set protocols static interface-route 192.168.1.0/24 next-hop-interface eth0 distance 10
set protocols static interface-route 192.168.1.0/24 next-hop-interface eth1 distance 20
вот про это идет речь, примерно так должно выглядеть?

получается основной канал с eth0, при падении интернета на eth0 трафик в ту же сеть 192.168.1.0/24 пойдет через физический порт eth1

[myst]

14 часов назад, dmitriyc сказал:

set protocols static interface-route 192.168.1.0/24 next-hop-interface eth0 distance 10
set protocols static interface-route 192.168.1.0/24 next-hop-interface eth1 distance 20
вот про это идет речь, примерно так должно выглядеть?

получается основной канал с eth0, при падении интернета на eth0 трафик в ту же сеть 192.168.1.0/24 пойдет через физический порт eth1

конкретно по алтелю без понятия НО не совсем так. Смотря как "упадет интернет". Если упадет физика, тоесть основной порт перейдет в состояние not connected, то да, трафик пойдет через маршрут с дистанцией 20. Если же физика не упадет - зависит от реализации конкретного вендора. Вообще, проще запустить что-то типа SLA или OSPF.

 

[lugoblin]

On 12/16/2020 at 6:51 PM, myst said:

Да и на практике это вполне разумно и удобно и ньюансов там нет.

Угу, если не смотреть как упадёт интернет...

 

Резервируемая система в единственном экземпляре и в продакшене, т.е. возможности тестирования ограничены и сравнительный анализ проводить не на чем.

Железка малознакомая, рука на траблшутинг не набита.

Мониторинга, скорее всего, толком нет. (Кстати, @dmitriyc рекомендую начать с этого. Пусть показывает когда что упало и когда поднялось, и паралельно считало потери и задержки.)

Это всё красные флажки.