5 ISP a jedna sitova karta. Jak je pripojit?

[Petrik]

Diky za tip, co jsem ale cetl tak VLANy s VRRP uplne nejlip nechodi (pokud chapu dobre jak jsi to myslel), navic ten switch by byl single point of failure, coz bych mit nechtel. Ale mozna by sly pouzit dva switche, to si ted ale uplne moc predstavit nedokazu. Pevny IP asi nebudou, ikdyz otazka je zda to s dynamickyma pujde vubec provozovat, musim si to jeste cele poradne rozmyslet. Dalsi zadrhel je, ze jedno ADSL ma vyssi upload a pres nej se musi routovat jeden DB server na vnitrni siti, cimz se to cele jeste vice komplikuje, ale v principu by to melo jit udelat.

[Fox!MURDER]

jo, vidis, ze je switch SPOF jsem ponekud nedomyslel ale se dvema a etherchannelem by to taky slo .
na strane s DSL by zadny VRRP nebylo ...

[Jezevec]

2Petrik: Jen tak pro info, ty mas v ramci infrastruktury zapojeny vsechny ty stroje kazdej do 2switchu ? Pokud ne, tak resit nejaky brutalni metody jak zabranit vypadku routeru je trochu zbytecny.

Jinak vypadek by se mohl resit pomoci RIP. To by mely umet i XP a muzes jim tim aktivne sdelit zmenu routy. Pocitam ze pro mikrotika by to nemel bejt zavaznejsi problem. Pro tucnaky je samo lepsi reseni pouzit OSPF, pri rozumnym nastaveni reaguje bleskurychle.

Problem ovsem budes mit s verejnyma IP adresama. Zalezi teda jak moc potrebujes udrzet aktivni TCP konexe a taky na protokolech, ale sekundarni router rozhodne nebude vedet nic o NATovaci tabulce => muze se stat, ze prideli jinou verejnou IP a konexe se rozpadne (v kazdym pripade pokud bude kazdy router obsluhovat jen cast IP adres).

Obecne resit jakykoli zabezpeceni proti vypadku bez vlastniho rozsahu/spoluprace s ISP je vicemene hazeni penez do kanalu. Stejne dycky narazis na situaci, ktera nebude resitelna.

[Fox!MURDER]

Problem ovsem budes mit s verejnyma IP adresama. Zalezi teda jak moc potrebujes udrzet aktivni TCP konexe a taky na protokolech, ale sekundarni router rozhodne nebude vedet nic o NATovaci tabulce => muze se stat, ze prideli jinou verejnou IP a konexe se rozpadne (v kazdym pripade pokud bude kazdy router obsluhovat jen cast IP adres).

tohle prave resi pfsync(4) ... proto jsem tu zminoval pf na *BSD (vubec by ho nekdo mohl portnout pro linux)

[Jezevec]

Ono se to da udelat i na tucnakovi, ovsem script by sis na to musel napsat sam a rozhodne by to nebylo online.

[Fox!MURDER]

Ono se to da udelat i na tucnakovi, ovsem script by sis na to musel napsat sam a rozhodne by to nebylo online.

jak tak koukam, ono staci se podivat do gugelu ... http://conntrack-tools.netfilter.org/manual.html takze to jde i s tucnakem a asi i online ...

[Petrik]

Tak jsem dnes zkusebne zapojil dve DSL lajny do jednoho mikrotiku, nahodil PCC a neveril jsem ze se to fakt rozjelo delim je v pomeru 2:1 (11Mb a 6Mb) a funguje to naprosto bajecne, vytizeni site skutecne prumerne odpovida pomeru 2:1 a to jak download, tak upload. Je to dane tim, ze tam jsou tisice spojeni a vsechny delaj relativne o same, kdyby to pouzivali zivi lide, nebylo by to asi tak idealni. VRRP jsem zkousel uz predtim, doba prepnuti je cca 1-2s (odpojil jsem kabel z master routeru), ping nevypadl ani jeden, cemuz se mi ani nechce verit. Takze zitra zkusim rozjet VRRP nazivo a do druheho routeru take napicham dalsi dve lajny a zkusim load ballance mezy vsechny 4 lajny. Mimochodem to ze to funguje i na PPPoE clientovi s dynamickou IP je diky tomu, ze mikrotik umoznuje definovat routovaci pravidlo jen pomoci interfejsu, zadnou pevnou gw nepotrebuje. Jestli to umi i normalni linux netusim, ale rozhodne to neni otazka par kliku jako v mikrotiku. Genialni

[Petrik]

Tak jsem to nakonec vazne zprovoznil az v prubehu se ukazalo, ze tak jednoduche, jak to vypadalo,to vazne nebude, protoze policy routing prinasi urcite problemy, ktere je potreba osetrit. Dalsi neprijemnost je podivna implementace/vlastnost VRRP v mikrotiku (mozna to je standard), kdy je vyzadovana IP adresa ze stejneho rozsahu, jako ma VRRP interfejs, rovnez na materske sitovce. To zpusobuje problemy u slave routeru, bez obrazku to ale vysvetlit asi nepujde, takze ctenarum doporucuji pockat na vecer, kdy snad dodam nejaky obrazek s porobnou dokumentaci. Pokracovani tedy jindy, kazdopadne vysledek predcil vsecha ocekavani a funguje to bajecne:

1) muze spadnout jakykoli z obou routeru a internet bude fungovat i bez nej, doba vypadku je cca 1-2s (vyzkouseno)

2) dokud bude funkcni alespon jedna DSL lajna na alespon jednom funkcnim routeru, internet rovnez jede

3) zatez je rozdelovana mezi vsechny dostupne DSL lajny (overuje se pingem na branu) s tim, ze pro kazdy par zdrojove a cilove IP adresy se brana nemeni (do restartu routeru), takze navazana spojeni nepadaji a nejsou problemy zpusobene menici se verejnou IP

4) to vse bez potreby statickych IP adres od providera ci jinych nestandardnich sluzeb

UPDATE: takze pro zajemce nabizim k nastudovani nalsedujici odkazy (to je novinkaz ze): http://wiki.mikrotik.com/wiki/PCC a k tomu toto: http://wiki.mikrotik.com/wiki/VRRP

[sasha]

jak to vlastne u nas vypada u "ISP" to neni mozne pouzit BGP?
ptam se protoze s temihle low-level zarizenimi nemam zkusenost, tak se divim proc to neni reseno standartni cestou pres dynamicky protokol.
dekuji

[Petrik]

2Petrik: Jen tak pro info, ty mas v ramci infrastruktury zapojeny vsechny ty stroje kazdej do 2switchu ? Pokud ne, tak resit nejaky brutalni metody jak zabranit vypadku routeru je trochu zbytecny.

Jinak vypadek by se mohl resit pomoci RIP. To by mely umet i XP a muzes jim tim aktivne sdelit zmenu routy. Pocitam ze pro mikrotika by to nemel bejt zavaznejsi problem. Pro tucnaky je samo lepsi reseni pouzit OSPF, pri rozumnym nastaveni reaguje bleskurychle.

Problem ovsem budes mit s verejnyma IP adresama. Zalezi teda jak moc potrebujes udrzet aktivni TCP konexe a taky na protokolech, ale sekundarni router rozhodne nebude vedet nic o NATovaci tabulce => muze se stat, ze prideli jinou verejnou IP a konexe se rozpadne (v kazdym pripade pokud bude kazdy router obsluhovat jen cast IP adres).

Obecne resit jakykoli zabezpeceni proti vypadku bez vlastniho rozsahu/spoluprace s ISP je vicemene hazeni penez do kanalu. Stejne dycky narazis na situaci, ktera nebude resitelna.

Pokud mozno to chci resit bez jakekoli nutnosti konfigurace na stanicich, protoze jednak jich je cca 70-80, jednak se do site pripojuji i nejake NTB, iphony a podobne, takze reseni pomoci VRRP pokud bude fungovat je asi idelani.

Jasne ze switche jsou SPoF, ale vymenit switch je precijenom jednoduzsi nez prehodit modemy ci router, protoze tam se daji poplest kabely, kdezto switch dokaze vymenit teoreticky i cvicena opice / uklizecka. A samozrejme pro kriticke stroje tu je stale moznost pouziti dvou switchu.

Rozpadnuti otevrenych spojeni pri vypadku jednoho routeru neni velky problem, protoze to jednak nebude casto (doufam), jednak nase crawleri si je bez problemu obnovi. Stejne tak verejnou adresu asi nepotrebujeme, respektive bude stacit kdyz budou dve, na kazdem routeru jedna.

S poslednim odstavcem nesouhlasim, protoze pokud toto mnou navhrhovane reseni bude fungovat tak jak zamyslim, je to porad lepsi, nez mit pri vypadku jednoho oruteru (umrela CF, umrely FS, umrely zdroj....) polovinu stroju bez netu. Navic hlavni funkce bude load ballancing, ktery by snad mel fungovat dobre. Samozrejme pocitam s tim, ze to nebude dokonale a nektere veci proste vyresit uspokojive treba nepujde, ale takovy je zivot

[Jezevec]

Samo, zavisi co od toho chces, posledni odstavec se tykal predevsim

bez single point of failure

coz pomoci tohoto neudelas.

Pokud ti staci ze se nejak sama prepne konektivita, tak je to celkem snadny. Pokud to chces tedy nejak nahrubo balancovat, tak bych dal kazdymu routeru jednu vnitrni IP a default routu rozdelil mezi ty stroje co chces +- balancovat. Pri vypadku jedno z nich by si pak ten druhy pridal IP mrtvoly jako sekundarni. Nevim jak rychle swiste zareagujou, ale moc dlouho to trvat nebude.

Spojeni se samo rozpadnou, ale pokud ti to neva, tak neni co resit.

BTW: Co FUP ? Nebylo by vhodnejsi poridit nejakou profi konektivitu na jiny technologii/umistit zelezo nekam kde konektivita je ?

Jinak prepichat router zvladne uklizecka taky, otestovano , jen musi byt stejny. To ze ma ty kably napichat do stejnych der pochopila.

[Petrik]

Nyni to tu je tak, ze mame 4 routery a jejich vnistrni IP se nejak prideluji vnistrnim strojum. Problem je ze to moc nefunguje, casto jsou dve lajny zcela vytizeny, kdezto dalsi 3 se flakaj, protoze zatez tech stroju je v case ruzna a hlavne to pseudo-nahodne pridelovani IP lidmy v realu moc nefunguje. Navic ty routery stale tuhnou a pod, takze takhle to tu vazne nejde. Jedna se o firmu v mensim nemeckem mestecku a jine pripojeni nez ADSL tu proste neni, nebo neni financne dostupne. A platit umisteni 60ti stroju nekde na pateri, ke kterym navic casto fyzicky potrebujeme, je rovnez nevyhodne. Pravda je, ze to s tema switchema a hlavne s ARP zaznamama me nedoslo, kouknu zda VRRP neumi prehazovat i MAC adresy, to by se vyrazne zrychlylo.

[Paolo]

Barevné kabely (žlutý, zelený, modrý, červený, černý, šedý) a na obou routrech (funkčním i záložním) barevné polepky u konektorů a výměnu pak zvládne i uklízečka...

[Jezevec]

Potiz u DSL budes stejne mit v tom, ze parametry linky se ti menej v case => to co normalne linka da vpohode muze jindy znamenat jeji pretizeni. Zalezi taky na tom, co chces balancovat, jestli traffic nebo konexe. Ale tak jako tak, pokud se ti to meni v case nejak vic nez malo , tak se nevyhnes aktivnim zmenam konfigurace na tech serverech. Druha alternativa je pak jedina, mit vsechny linky privedeny do jednoho routeru a druhy mit jen jako pasivni backup.