Ich wollte mein Netzwerklayout veröffentlichen, habe aber nicht den erforderlichen Ruf. Also habe ich unten ein Netzwerkdiagramm erstellt:
ISP
/ \
/ \
/ \
HQ------Branch
| |
HQ-PC B-PC
Ich versuche, die WAN-Verbindung zwischen HQ und Zweigstelle als Sicherungsverbindung zu verwenden, und es dürfen keine Daten übertragen werden, es sei denn, die Verbindung zwischen HQ zu ISP oder Zweigstelle zu ISP ist unterbrochen. Das heißt, es darf ausschließlich als Backup-Link verwendet werden.
Ich habe Floating Static verwendet, um die Redundanz zu konfigurieren. Es funktioniert jedoch nicht ganz so, wie ich es erwartet habe. Was ich getan habe sind:
1) eine Standardroute im Hauptquartier und Zweigstelle zum ISP (0.0.0.0 0.0.0.0 NEXT-HOP-IP)
2) statische Route beim ISP zu HQ und Branch (HQ / BRANCH-NETWORK-ADDRESS SUBNET-MASK NEXT-HOP-IP)
3) eine statische (bevorzugte) Route im Hauptquartier (BRANCH-NETWORK-ADDRESS SUBNET-MASK NEXT-HOP-IP-TO-ISP)
4) eine statische (bevorzugte) Route bei Branch (HQ-NETZWERK-ADRESSE SUBNET-MASKE NÄCHSTER-HOP-IP-TO-ISP)
5) eine schwebende statische (Backup-) Route im Hauptquartier (BRANCH-NETWORK-ADRESSE SUBNET-MASKE NÄCHSTE HOFFNUNG-IP-ZUM-HQ-DURCH-BACKUP-LINK)
6) eine schwebende statische (Backup-) Route bei Branch (HQ-NETZWERK-ADRESSE SUBNET-MASKE NÄCHSTE HOFFNUNG-IP-ZUM ZWEIG-DURCH-BACKUP-LINK)
Es gibt jedoch ein Problem. Wenn beispielsweise die Verbindung zwischen ISP und HQ unterbrochen ist und ich von HQ-PC zu B-PC pingen möchte, wird das Paket erfolgreich von HQ-PC zu B-PC gesendet, das zurückkehrende Paket jedoch von B-PC wird an den ISP und nicht über den Backup-Link gesendet.
Tut mir leid für einen so langen Beitrag, aber gibt es jemanden, der mir helfen kann? Wenn meine Erklärung unklar ist, können Sie gerne nachfragen. Danke im Voraus
EDIT: Entschuldigung für die Verwirrung, es sollten keine Routing-Protokolle mit dem ISP ausgeführt werden
Antworten:
Wie Sie bereits erwähnt haben, werden Ihre statischen Routen unterbrochen, da es an beiden Standorten keine Möglichkeit gibt, ein Failover auf die WAN-Verbindung zu erzwingen, wenn eine Website den Uplink zum Internet verliert.
Die beste Lösung für dieses Problem besteht darin, eine Art gerouteten Tunnel (bezogen auf die ISP-Verbindungsadressen auf R1 und R2 im Diagramm) über das Internet einzurichten, ein dynamisches Routing-Protokoll (OSPF / EIGRP) über Ihren Tunnel auszuführen und zu sichern WAN, und legen Sie die Routing-Metriken für die WAN-Verbindung viel höher fest.
Da Sie den Tunnel von den Internetverbindungen auf beiden Seiten beziehen, bricht der Tunnel, wenn eine Seite die Internetverbindung verliert (und der IGP stellt Ihre WAN-Verbindung wieder her). Stellen Sie in diesem Fall sicher, dass PMTUD durch den Tunnel funktioniert, damit der Tunnel-Overhead berücksichtigt wird. Diese Art von Inter-Office-verschlüsseltem VPN ist weit verbreitet, daher ist es eine vertraute Topologie für alle, die dieses Netzwerk in Zukunft unterstützen müssen.
Das Problem, mit dem Sie bei Ihrem vorhandenen Design konfrontiert sind, ist, dass der gesamte Datenverkehr zwischen den Büros unverschlüsselt zu sein scheint (zumindest, wenn ich Ihre Frage zum Nennwert lese). Wenn Sie dies noch nicht tun, würde ich Ihnen dringend empfehlen, den gesamten Datenverkehr zwischen Ihren Unternehmensseiten zu verschlüsseln, wenn dieser über das Internet erfolgt .
quelle
(Die ursprüngliche All-BGP-Antwort wurde gemäß der Anforderung des OP geändert, kein dynamisches Routing an den ISP durchzuführen.)
Wie von @Mike vorgeschlagen, ist Tunnel + dynamisches Routing, insbesondere in der INET-Ausrichtung, eine solide Lösung. Wenn Sie jedoch aus irgendeinem Grund keinen Tunnel möchten (keine HW-Unterstützung, keine MTU verlieren möchten, dynamisches Routing auch intern nicht akzeptabel), ist Ihre andere Option die Verfolgung von IP SLA-Routen.
Ich werde erklären, wie es bei dem genau beschriebenen Problem hilft, bei dem der Zweig weiterhin Datenverkehr an INET zurückgibt, während er den direkten Link verwenden sollte.
In der Filiale hätten Sie:
Wenn das Hauptquartier nicht über INET erreichbar ist, sollte die Verfolgung fehlschlagen und die INET-spezifischere Route sollte ungültig werden, und Sie sollten auf die nächstbeste Route zurückgreifen, die auf die direkte Verbindung verweist.
quelle