5 ISP a jedna sitova karta. Jak je pripojit?

[Jezevec]

2Petrik: Jen tak pro info, ty mas v ramci infrastruktury zapojeny vsechny ty stroje kazdej do 2switchu ? Pokud ne, tak resit nejaky brutalni metody jak zabranit vypadku routeru je trochu zbytecny.

Jinak vypadek by se mohl resit pomoci RIP. To by mely umet i XP a muzes jim tim aktivne sdelit zmenu routy. Pocitam ze pro mikrotika by to nemel bejt zavaznejsi problem. Pro tucnaky je samo lepsi reseni pouzit OSPF, pri rozumnym nastaveni reaguje bleskurychle.

Problem ovsem budes mit s verejnyma IP adresama. Zalezi teda jak moc potrebujes udrzet aktivni TCP konexe a taky na protokolech, ale sekundarni router rozhodne nebude vedet nic o NATovaci tabulce => muze se stat, ze prideli jinou verejnou IP a konexe se rozpadne (v kazdym pripade pokud bude kazdy router obsluhovat jen cast IP adres).

Obecne resit jakykoli zabezpeceni proti vypadku bez vlastniho rozsahu/spoluprace s ISP je vicemene hazeni penez do kanalu. Stejne dycky narazis na situaci, ktera nebude resitelna.

[Fox!MURDER]

Problem ovsem budes mit s verejnyma IP adresama. Zalezi teda jak moc potrebujes udrzet aktivni TCP konexe a taky na protokolech, ale sekundarni router rozhodne nebude vedet nic o NATovaci tabulce => muze se stat, ze prideli jinou verejnou IP a konexe se rozpadne (v kazdym pripade pokud bude kazdy router obsluhovat jen cast IP adres).

tohle prave resi pfsync(4) ... proto jsem tu zminoval pf na *BSD (vubec by ho nekdo mohl portnout pro linux)

[Jezevec]

Ono se to da udelat i na tucnakovi, ovsem script by sis na to musel napsat sam a rozhodne by to nebylo online.

[Fox!MURDER]

Ono se to da udelat i na tucnakovi, ovsem script by sis na to musel napsat sam a rozhodne by to nebylo online.

jak tak koukam, ono staci se podivat do gugelu ... http://conntrack-tools.netfilter.org/manual.html takze to jde i s tucnakem a asi i online ...

[Petrik]

Tak jsem dnes zkusebne zapojil dve DSL lajny do jednoho mikrotiku, nahodil PCC a neveril jsem ze se to fakt rozjelo delim je v pomeru 2:1 (11Mb a 6Mb) a funguje to naprosto bajecne, vytizeni site skutecne prumerne odpovida pomeru 2:1 a to jak download, tak upload. Je to dane tim, ze tam jsou tisice spojeni a vsechny delaj relativne o same, kdyby to pouzivali zivi lide, nebylo by to asi tak idealni. VRRP jsem zkousel uz predtim, doba prepnuti je cca 1-2s (odpojil jsem kabel z master routeru), ping nevypadl ani jeden, cemuz se mi ani nechce verit. Takze zitra zkusim rozjet VRRP nazivo a do druheho routeru take napicham dalsi dve lajny a zkusim load ballance mezy vsechny 4 lajny. Mimochodem to ze to funguje i na PPPoE clientovi s dynamickou IP je diky tomu, ze mikrotik umoznuje definovat routovaci pravidlo jen pomoci interfejsu, zadnou pevnou gw nepotrebuje. Jestli to umi i normalni linux netusim, ale rozhodne to neni otazka par kliku jako v mikrotiku. Genialni

[Petrik]

Tak jsem to nakonec vazne zprovoznil az v prubehu se ukazalo, ze tak jednoduche, jak to vypadalo,to vazne nebude, protoze policy routing prinasi urcite problemy, ktere je potreba osetrit. Dalsi neprijemnost je podivna implementace/vlastnost VRRP v mikrotiku (mozna to je standard), kdy je vyzadovana IP adresa ze stejneho rozsahu, jako ma VRRP interfejs, rovnez na materske sitovce. To zpusobuje problemy u slave routeru, bez obrazku to ale vysvetlit asi nepujde, takze ctenarum doporucuji pockat na vecer, kdy snad dodam nejaky obrazek s porobnou dokumentaci. Pokracovani tedy jindy, kazdopadne vysledek predcil vsecha ocekavani a funguje to bajecne:

1) muze spadnout jakykoli z obou routeru a internet bude fungovat i bez nej, doba vypadku je cca 1-2s (vyzkouseno)

2) dokud bude funkcni alespon jedna DSL lajna na alespon jednom funkcnim routeru, internet rovnez jede

3) zatez je rozdelovana mezi vsechny dostupne DSL lajny (overuje se pingem na branu) s tim, ze pro kazdy par zdrojove a cilove IP adresy se brana nemeni (do restartu routeru), takze navazana spojeni nepadaji a nejsou problemy zpusobene menici se verejnou IP

4) to vse bez potreby statickych IP adres od providera ci jinych nestandardnich sluzeb

UPDATE: takze pro zajemce nabizim k nastudovani nalsedujici odkazy (to je novinkaz ze): http://wiki.mikrotik.com/wiki/PCC a k tomu toto: http://wiki.mikrotik.com/wiki/VRRP

[sasha]

jak to vlastne u nas vypada u "ISP" to neni mozne pouzit BGP?
ptam se protoze s temihle low-level zarizenimi nemam zkusenost, tak se divim proc to neni reseno standartni cestou pres dynamicky protokol.
dekuji

[Fox!MURDER]

jak to vlastne u nas vypada u "ISP" to neni mozne pouzit BGP?
ptam se protoze s temihle low-level zarizenimi nemam zkusenost, tak se divim proc to neni reseno standartni cestou pres dynamicky protokol.
dekuji

tohle ti nikdo na soho linkach provozovat nebude ... teda alespon ne za soho ceny, coz mam pocit, tady byl pozadavek ...

[sasha]

jo a pochopil jsem dobre ze to je jen pro odchozi traffic, protoze v pripade weboveho serveru by to byl ponekud asymetricky routing a dost zbytecna divocina s DNS....
a fw tam neni? tomu by se to uz vubec nelibilo

[Petrik]

2Petrik: Jen tak pro info, ty mas v ramci infrastruktury zapojeny vsechny ty stroje kazdej do 2switchu ? Pokud ne, tak resit nejaky brutalni metody jak zabranit vypadku routeru je trochu zbytecny.

Jinak vypadek by se mohl resit pomoci RIP. To by mely umet i XP a muzes jim tim aktivne sdelit zmenu routy. Pocitam ze pro mikrotika by to nemel bejt zavaznejsi problem. Pro tucnaky je samo lepsi reseni pouzit OSPF, pri rozumnym nastaveni reaguje bleskurychle.

Problem ovsem budes mit s verejnyma IP adresama. Zalezi teda jak moc potrebujes udrzet aktivni TCP konexe a taky na protokolech, ale sekundarni router rozhodne nebude vedet nic o NATovaci tabulce => muze se stat, ze prideli jinou verejnou IP a konexe se rozpadne (v kazdym pripade pokud bude kazdy router obsluhovat jen cast IP adres).

Obecne resit jakykoli zabezpeceni proti vypadku bez vlastniho rozsahu/spoluprace s ISP je vicemene hazeni penez do kanalu. Stejne dycky narazis na situaci, ktera nebude resitelna.

Pokud mozno to chci resit bez jakekoli nutnosti konfigurace na stanicich, protoze jednak jich je cca 70-80, jednak se do site pripojuji i nejake NTB, iphony a podobne, takze reseni pomoci VRRP pokud bude fungovat je asi idelani.

Jasne ze switche jsou SPoF, ale vymenit switch je precijenom jednoduzsi nez prehodit modemy ci router, protoze tam se daji poplest kabely, kdezto switch dokaze vymenit teoreticky i cvicena opice / uklizecka. A samozrejme pro kriticke stroje tu je stale moznost pouziti dvou switchu.

Rozpadnuti otevrenych spojeni pri vypadku jednoho routeru neni velky problem, protoze to jednak nebude casto (doufam), jednak nase crawleri si je bez problemu obnovi. Stejne tak verejnou adresu asi nepotrebujeme, respektive bude stacit kdyz budou dve, na kazdem routeru jedna.

S poslednim odstavcem nesouhlasim, protoze pokud toto mnou navhrhovane reseni bude fungovat tak jak zamyslim, je to porad lepsi, nez mit pri vypadku jednoho oruteru (umrela CF, umrely FS, umrely zdroj....) polovinu stroju bez netu. Navic hlavni funkce bude load ballancing, ktery by snad mel fungovat dobre. Samozrejme pocitam s tim, ze to nebude dokonale a nektere veci proste vyresit uspokojive treba nepujde, ale takovy je zivot

[Jezevec]

Samo, zavisi co od toho chces, posledni odstavec se tykal predevsim

bez single point of failure

coz pomoci tohoto neudelas.

Pokud ti staci ze se nejak sama prepne konektivita, tak je to celkem snadny. Pokud to chces tedy nejak nahrubo balancovat, tak bych dal kazdymu routeru jednu vnitrni IP a default routu rozdelil mezi ty stroje co chces +- balancovat. Pri vypadku jedno z nich by si pak ten druhy pridal IP mrtvoly jako sekundarni. Nevim jak rychle swiste zareagujou, ale moc dlouho to trvat nebude.

Spojeni se samo rozpadnou, ale pokud ti to neva, tak neni co resit.

BTW: Co FUP ? Nebylo by vhodnejsi poridit nejakou profi konektivitu na jiny technologii/umistit zelezo nekam kde konektivita je ?

Jinak prepichat router zvladne uklizecka taky, otestovano , jen musi byt stejny. To ze ma ty kably napichat do stejnych der pochopila.

[Petrik]

Nyni to tu je tak, ze mame 4 routery a jejich vnistrni IP se nejak prideluji vnistrnim strojum. Problem je ze to moc nefunguje, casto jsou dve lajny zcela vytizeny, kdezto dalsi 3 se flakaj, protoze zatez tech stroju je v case ruzna a hlavne to pseudo-nahodne pridelovani IP lidmy v realu moc nefunguje. Navic ty routery stale tuhnou a pod, takze takhle to tu vazne nejde. Jedna se o firmu v mensim nemeckem mestecku a jine pripojeni nez ADSL tu proste neni, nebo neni financne dostupne. A platit umisteni 60ti stroju nekde na pateri, ke kterym navic casto fyzicky potrebujeme, je rovnez nevyhodne. Pravda je, ze to s tema switchema a hlavne s ARP zaznamama me nedoslo, kouknu zda VRRP neumi prehazovat i MAC adresy, to by se vyrazne zrychlylo.

[Paolo]

Barevné kabely (žlutý, zelený, modrý, červený, černý, šedý) a na obou routrech (funkčním i záložním) barevné polepky u konektorů a výměnu pak zvládne i uklízečka...

[Jezevec]

Potiz u DSL budes stejne mit v tom, ze parametry linky se ti menej v case => to co normalne linka da vpohode muze jindy znamenat jeji pretizeni. Zalezi taky na tom, co chces balancovat, jestli traffic nebo konexe. Ale tak jako tak, pokud se ti to meni v case nejak vic nez malo , tak se nevyhnes aktivnim zmenam konfigurace na tech serverech. Druha alternativa je pak jedina, mit vsechny linky privedeny do jednoho routeru a druhy mit jen jako pasivni backup.

[Petrik]

Potiz u DSL budes stejne mit v tom, ze parametry linky se ti menej v case => to co normalne linka da vpohode muze jindy znamenat jeji pretizeni. Zalezi taky na tom, co chces balancovat, jestli traffic nebo konexe. Ale tak jako tak, pokud se ti to meni v case nejak vic nez malo , tak se nevyhnes aktivnim zmenam konfigurace na tech serverech. Druha alternativa je pak jedina, mit vsechny linky privedeny do jednoho routeru a druhy mit jen jako pasivni backup.

Jasne ze ADSL vazne neni fiber, na tom se shodneme, ale nic lepsiho tu proste nemame a mit nebudeme a zadny QoS se na tom stejne delat neda, kdyz tam neni fronta (a hlavne kdyz ty data prijimam), takze ten round-robin load ballancing je asi tak to nejlepsi, co na tom jde udelat a samozrejme se budu snazit tech ADSL mit co nejvice, aby byly vytizene treba jen na 60%...to by pak uz mohlo precijen trochu fungovat. Jen jsem zvedav, jak to bude vsechno fungovat, kdyz na tom PPPoE samozrejme musi byt DHCP klient. Doufam ze MK je inteligentni a ze kdyz nahodim 4 PPPoE, ze je bude vsechny pouzivat stejne jako kdybych mel rucne nastavene 4 default gw. Zatim diky moc za postrehy, zkusim to implementovat a pak poreferuji.

[Caleb]

Doufam ze MK je inteligentni a ze kdyz nahodim 4 PPPoE, ze je bude vsechny pouzivat stejne jako kdybych mel rucne nastavene 4 default gw.

Obavam se, ze ne