5 ISP a jedna sitova karta. Jak je pripojit?

[sasha]

jak to vlastne u nas vypada u "ISP" to neni mozne pouzit BGP?
ptam se protoze s temihle low-level zarizenimi nemam zkusenost, tak se divim proc to neni reseno standartni cestou pres dynamicky protokol.
dekuji

[Fox!MURDER]

jak to vlastne u nas vypada u "ISP" to neni mozne pouzit BGP?
ptam se protoze s temihle low-level zarizenimi nemam zkusenost, tak se divim proc to neni reseno standartni cestou pres dynamicky protokol.
dekuji

tohle ti nikdo na soho linkach provozovat nebude ... teda alespon ne za soho ceny, coz mam pocit, tady byl pozadavek ...

[sasha]

jo a pochopil jsem dobre ze to je jen pro odchozi traffic, protoze v pripade weboveho serveru by to byl ponekud asymetricky routing a dost zbytecna divocina s DNS....
a fw tam neni? tomu by se to uz vubec nelibilo

[Jezevec]

Predevsim BGP (pripadne alternativy) by mozna prichazelo do uvahy pokud by slo o dve linky jedinyho ISP. Vzhledem k rozsahu IPcek ktery normalne doma mas (tedy 00 nic) ti nikdo nebute takovy pidiprefix propagovat :/.

Samo, resenim by bylo vice propojovacich bodu blize zakaznikum, pak by se daly i pidiprefixy propagovat v ramci te omezene lokality.

[Petrik]

Priznam se ze vubec netusim, jak by slo BGP v teto situaci pouzit, ale to bude patrne tim, ze o BGP temer nic nevim predpokladam ale, ze s dynamickymi adresami by to bylo minimalne ponekud problematicke az nemozne FW, pokud tim byl mysleny firewall, tam samozrejme je (stavovy).

Samozrejme, ze toto reseni se tyka uz z principu pouze odchozich spojeni, coz ale v nasem pripade neni na zavadu, protoze mame pomerne velky pocet spojeni a vsechny maji +- stejny download, takze jen pro predstavu realna data jsou takova, ze prichozi objem dat merenych mikrotikem na jednotlivych interfacech se lisi v radu procent, coz ja osobne povazuji za dost neuveritelne vyborny vysledek. Stejne tak pri vypadku nejake DSL lajny ( = shozeni PPPoE) se spojeni prislusejici teto brane okamzite zacnu routovat jiou dostupnou branou, po nahozeni PPPoE se vse vrati do puvodniho stavu. Navazana spojeni jsou samozrejme ukoncena, ale to nema bohuzel zadne reseni. Velka vyhoda je, ze nejsme zavisli na jednom providerovi a nejvetsi vyhoda je samozrejme cena celeho reseni. To doplnuje velmi snadna obnova konfigurace mikrotiku ze zalohy nastaveni, je to operace na 4 kliknuti kterou zvladne i naprosty diletant, coz by napriklad u nejakeho beznejsiho linuxu nehrozilo. Navic si nejsem uplne jisty, ze neco jako PCC v linuxu vubec je, obavam se ze to featura doprogramovana mikrotik teamem.

Takze, pokusim se nyni o jakysi navod pro pripad, ze by to nekoho zajimalo:
Predem upozornuji ze policy routing neni uplne trivialni vec a doporucuji si o nem nejdrive neco precist.

Prvni krok je zpovozneni HA clusteru na bazi VRRP. S pomoci tohoto navodu to je pomerne snadne: http://wiki.mikrotik.com/wiki/VRRP-examples
Jediny zadrhel je v tom, ze aby to fungovalo, to znamena aby virtualni VRRP interface (IF) nebyl faulty, musi mit matersky IF platnou nejakou IP adresu. Ted nevim jiste zda nemusi byt ze stejneho rozsahu, jaky ma VRRP IF.
VRRP tedy priradime napr. 192.168.0.1/24 na obou roterech a ti to hasne. Primarnimu budu rikat master, druhemu slave. dost zasadni je mit preemtion yes.

Ted je potreba zprovoznit vlastni PCC load ballancing. Predpokladam, ze oba routery jiz maji aktivni DSL lajny pomoci PPPoE, DSL modemy jsou tedy v rezimu bridge. na PPPoE muzeme zapnout obe dostupne komprese a v NAT nastavit maskaradu. routery jsou mezi sebou propojene dedikovanym spojem (DS) pro routing z mastera na slejva. Pouzil jsem tento mirne upraveny navod: http://wiki.mikrotik.com/wiki/PCC
Jeden z rozdilu je v tom, ze jsem vubec neresil prichozi spojeni, stejne jako output, ale to by nicemu uskodit nemelo. Dalsi, pomerne zasadni rozdil, je v tom, ze pri nastaveni jednotlivych zaznamu v routing table musime pouzit PPPoE IF namisto vychozi brany, protoze ta je dynamicka. Velmi doporucuji check gateway s pingem. V nastaveni PCC jsem pouzil both-addresses, coz je nastaveni, ktere zaruci, ze spojeni z jednoho pocitace na nejakou IP adresu v internetu pujde vzdy stejnou branou (pokud je up).
Nastaveni policy routingu se lisi pro master a pro slave, protoze master rozdeluje spojeni mezi DSL vlastni a DSL bezici na slejvu, kdezto slave jen mezi vlastni. Na masteru tedy budeme rozdelovat spojeni na N+1 casti, kde N je pocet DSL na masteru, ono +1 se bude routovat na slejva. V mem pripade mam na obou strojich jednu 12Mb lajnu a jednu 6Mb, rozdeluji tedy v pomeru 2:1:3 (12,6,slave) na masteru a 2:1 na slejvovi. Celkem tedy mam na masteru 6 zaznamu v mangle table markujci spojeni s pomoci PCC. (mozna by slo rovnou prirazovat routing mark) In IF je VRRP.
Na slavu je situace jina v tom, ze v slave rezimu prichazi spojeni z dedikovaneho portu (od mastera), po vypadku hlavniho masteru se slave prepne ma docasneho mastera a spojeni zacnou prichazet z VRRP. Udelal jsem tedy dve sady shodnych PCC mangle zaznamu, jedenu s IN IF VRRP, druhou s IN IF dedikovaneho spoje (DS). A tady prichazi dalsi zadrhel a to je routa do nasi LAN, ve ktere mame nase kompy ve slave rezimu musi routa do LAN mirit na mastera skrz DS, po prepnuti na docasneho mastra musi mirit na VRRP. Pouzil jsem tedy moznost VRRP pri zmene stavu spustit skript, kde tuto routu nahazuju a shazuju.

Vysledek tedy je, ze master posila cast spojeni z LAN na vlastni DSL lajny a zbytek preposila na slejva, ktery tyto spojeni opet pomoci PCC rozdeluje mezi sve DSL. Na masteru je u zaznamu v routovaci tabulce pro preposilani na slejva opet pouziva funkce check gateway, takze pokud slave vypadne, master na nej prestane preposilat. Jediny problem, ktery muze nastat, je kdyz vypadnou vsechny DSL lajny na slejvovi, v takovem pripade na nej bude master stale preposilat spojeni a chudak slejv je nebude mit kam routovat (napada nekoho nejake jednoduche reseni?) Po vypadku masteru si slave nastavi na svem VRRP IF IP adresu (sy) co mel master, shodi routu na mastera a zacne vyrizovat prichozi spojeni pomoci svych DSL lajn. Vypadek cini priblizne 1-2s.

Po necelem tydnu musim prohlasit, ze to funguje bajecne a nejlepsi na tom je, ze to nema zadny single point of failure, kdyz nepocitam switch v LANce, bez ktereho to proste bohuzel nejak jednouse nejde

pouzity router je RB450G: http://www.roc-noc.com/images/P/rb150-complete_l-01.jpg

UPDATE: jeste dodam, ze VRRP si udela vlastni MAC a tu pak pouziva na vsech strojich, takze vypadek je skutecne pouze 2s, tedy nez si switche vymazou jeji zaznam z tabulky.

[sasha]

Predevsim BGP (pripadne alternativy) by mozna prichazelo do uvahy pokud by slo o dve linky jedinyho ISP. Vzhledem k rozsahu IPcek ktery normalne doma mas (tedy 00 nic) ti nikdo nebute takovy pidiprefix propagovat :/.

Samo, resenim by bylo vice propojovacich bodu blize zakaznikum, pak by se daly i pidiprefixy propagovat v ramci te omezene lokality.

jojo, jinak jsem prehledl ze je to pro domaci reseni LOL

kazdopadne Petrik sikula a nadsenec!