Router/Firewall (nem WAN!) HA/LB megoldás

Hálózatok általános

A felállás a következő: Irodai hálózat 100+ klienssel, 10+ VLAN-ba szervezve, mindez fizikailag 2 felé osztva, köztük egy trunk kapcsolattal. A VLAN-ok közti és az internet felé menő forgalmat 1 linuxos router/tűzfal+proxy kezeli.
1., ez eléggé SPOF
2., az egyik fizikai szegmens csomagjainak nagy része 2x utazik a trunk-ön a routerhez oda-vissza, feleslegesen terhelve a hálózatot

A terv adja magát: mindkét szegmensbe egy-egy router, amik alap esetben - jó eséllyel, de nem feltétlen - a saját szegmensüket kezelik, egyikük kiesése esetén pedig viszik az egész hálózatot.
Lehetséges? Merre induljak? A Google találatok nagy része WAN LB/failover-el foglalkozik 1 routeren, illetve Active-Passive HA megoldást találtam, de ilyet még nem.

- Megemésztik a Windows-ok a több default gw-t azonos csatolón?
- Vagy a fizikai szegmenstől függően kapják a "saját" def. gw-üket a DHCP-től? De akkor hiba esetén hogyan állnak át?

  • 1561 megtekintés

( vl v | 2015. 02. 26., cs – 12:22 )

- Megemésztik a Windows-ok a több default gw-t azonos csatolón?

Nem fog működni úgy, ahogy elképzeled. Ha nem futtatsz dinamikus routing protokollt a helyi hálózaton + minden egyes pc-n, akkor ez ebben a formában nem működőképes. A "mezei" oprendszerek (beleértve a Windowst) több default router esetén az egyiket fogják használni. Ha az eltűnik, akkor "nincs net".

Az működik, hogy mindkét routernek van saját IP címe, plusz van valami közös failover IP cím, amit a két router közül az egyik magára ránt, és a pc-k meg ezt használják. Ehhez természetesen a routereken kell támogatás. Ciscoéknál HSRP-nek hívják ezt a feature-t, a free világban meg VRRP-nek.

2., az egyik fizikai szegmens csomagjainak nagy része 2x utazik a trunk-ön a routerhez oda-vissza, feleslegesen terhelve a hálózatot

A trunk kapacitása probléma? Mert ha nem az (egy switchelt LAN-on belül általában ez ritkán probléma), akkor az egész felvetésnek nem sok értelme van. A switchek jellemzően ugyanis simán kibírják, ha az összes porton a max. sebességgel mennek csomagok ki-be.

( godot v | 2015. 02. 26., cs – 12:28 )

Aktív-Aktív megoldást is lehet csinálni hasonlót az NLB-hez az iptables CLUSTERIP moduljával. Bár ez nem szép megoldás. Ha egy router teljesítménye elég, csak felesleges bonyolítás és jobb az aktív/passzív HA.

( joseph | 2015. 02. 26., cs – 13:22 )

én OSFP2 protokollal és VRRP- vel csináltam korábban aktiv-aktiv router megoldást.
nézz körül a Mikrotik fórumokon ez ügyben, sok jó ötlet, megoldás találharó ott.