Два провайдера и openvpn клиент

El_Ninio

@rubic да работает сейчас. Но все также. Нормально работает когда отключаю основной сервер по наим метрике, вручную. Иначе через 3-5 мин отваливается второй впн туннель. Допустим отключил временно сервер, все, маршрут поменялся на второй канал. Обратно включаю сервер, все,конец. Пинга нет ничего не работает. Ну это же брет, когда упадет у клиента основной туннель, мне надо гл офисе вручную отключать основной сервер чтобы работал второй канал.

rubic

This post is deleted!

pigbrother

@rubic said in Два провайдера и openvpn клиент:

Также на pfSense в настройках OpenVPN удаляйте все в Local/Remote Network(s) - рулить маршрутизацией будет OSPFd,

И где же тогда указывать сети,те, что что передаются стандартно директивой route?
Через Subnet to Route?

werter

@El_Ninio

а ты не слышал про виртуальных машин? Там сколько угодно интерфейсов можно добавить)

Кто ж спорит? Загвоздка в том, чтобы правильно добавить.

Зы. Вижу Xen пользуешь. Небось еще и от Citrix версию.
HW TCP\UDP offload на вирт. сетевых-то, выключил "виртуализатор" ? )
А то сУрпризы ждутЬ )

werter

@pigbrother said in Два провайдера и openvpn клиент:

@rubic said in Два провайдера и openvpn клиент:

Также на pfSense в настройках OpenVPN удаляйте все в Local/Remote Network(s) - рулить маршрутизацией будет OSPFd,

И где же тогда указывать сети,те, что что передаются стандартно директивой route?
Через Subnet to Route?

А когда Passive interface -> LAN выбираешь, то добавляется ж маршрут ?

pigbrother

@werter said in Два провайдера и openvpn клиент:

А когда Passive interface -> LAN выбираешь, то добавляется ж маршрут ?

Пока тыкаю OSPF на VM не десктопе, без реальной работы.
Имеется в виду Interface is Passive?
А как быть, если речь не только о LAN за PF, а и о других сетях, которые сейчас, без OSPF, передаются клиенту штатными средствами OVPN?

Пока смотрю на VM не десктопе, без реальной работы.

rubic

@pigbrother said in Два провайдера и openvpn клиент:

И где же тогда указывать сети,те, что что передаются стандартно директивой route?
Через Subnet to Route?

да, указать подсеть и Area, чекбоксы оставить пустыми

pigbrother

@rubic said in Два провайдера и openvpn клиент:

да, указать подсеть и Area, чекбоксы оставить пустыми

А если, как писал выше, подсетей несколько?

rubic

@pigbrother так их там можно много добавить Services > Quagga OSPFd > Global Settings там внизу "These rules take precedence over any redistribute options specified above" и под ней кнопка +Add

pigbrother

@rubic said in Два провайдера и openvpn клиент:

и под ней кнопка +Add

LAN за PF тоже нужно добавлять через Subnet to Route?
Disable Redistribution и Disable Acceptance включать ведь не надо?

Объявлять сервера OVPN интерфейсами не нужно?

Чешутся руки попробовать, но филиалы работаю без выходных и до глубокого вечера, а обрыва туннелей мне не позволят.

@rubic said in Два провайдера и openvpn клиент:

теперь в Interfaces должны появиться интерфейсы, но их еще надо отредактировать, для чего в настройках нажимаете Copy:

По идее Copy создает копию объекта с возможностью редактирования. Тогда старые интерфейсы нужно будет удалить?

rubic

@pigbrother said in Два провайдера и openvpn клиент:

@rubic said in Два провайдера и openvpn клиент:

и под ней кнопка +Add

LAN за PF тоже нужно добавлять через Subnet to Route?

нет, непосредственно подключенные сети интерфейсов лучше добавлять в Interfases settings

Disable Redistribution и Disable Acceptance включать ведь не надо?

нет, так добавляются сети, которые не нужно распространять и те, которые не нужно принимать

Объявлять сервера OVPN интерфейсами не нужно?

не нужно

Чешутся руки попробовать, но филиалы работаю без выходных и до глубокого вечера, а обрыва туннелей мне не позволят.

@rubic said in Два провайдера и openvpn клиент:

теперь в Interfaces должны появиться интерфейсы, но их еще надо отредактировать, для чего в настройках нажимаете Copy:

По идее Copy создает копию объекта с возможностью редактирования. Тогда старые интерфейсы нужно будет удалить?

они сами удаляются при Copy

pigbrother

@rubic said in Два провайдера и openvpn клиент:

они сами удаляются при Copy

Очередное спасибо

Странно. Уменя при Copy любых объектов создается его копия, будь то правила FW, NAT, интерфейс и т.д.
Использовал Copy именно как способ\шаблон для создания отредактированной копии объектов.
Возможно в OSPF RourerOS это не так - судя по вашему скриншоту при простом редактировании невозможно создать\изменить поле Network type.

rubic

@pigbrother у меня тоже бывало, не удалялись в OSPF, можно и руками попробовать удалить в таком случае, но на всякий случай проверьте еще все настройки, что были сделаны до этого

werter

2All

Кто смогЕт соорудить - отпишитесь. С картинками )
Спасибо заранее.

pigbrother

@werter said in Два провайдера и openvpn клиент:

Кто смогЕт соорудить - отпишитесь. С картинками )

Если вас интересует сторона PF, то ув. @rubic еще в 2013 году делился с нами настойками OSPF, теперь там есть и картинки, пост отредактирован в 2109, за что отдельное спасибо.
https://forum.netgate.com/topic/53022/openvpn-psk-site-to-site-%D0%B8%D0%BD%D1%81%D1%82%D1%80%D1%83%D0%BA%D1%86%D0%B8%D1%8F-%D0%B4%D0%BB%D1%8F-%D0%BE%D0%B1%D1%81%D1%83%D0%B6%D0%B4%D0%B5%D0%BD%D0%B8%D1%8F?page=1

werter

Добрый.

Сам попросил - сам осилил )

Собственно, настройка OSPF, используя пакет FRR.
Имеется Головной офис с неск-кими WAN. Имеется клиент, к-ый подключен по OpenVPN к этому офису. Задача обеспечить минимальное время простоя этой связки.

Создаем и настраиваем P2P Shared key Openvpn серверы и клиенты (если ранее не использовалось). В строках Remote Subnet, Local Subnet ничего не пишем! Проверяем, что VPN-линки поднялись.
Разрешаем OSPF в fw во вкладке OpenVPN на сервере и клиенте. Ставим это правило самым первым.
Устанавливаем и на сервере и на клиенте пакет FRR.

Далее ниже на картинках:

1 Firewall Rules OpenVPN.png 2 FRR Global Settings client.png 2 FRR Global Settings server.png 3 OSPF Setting.png 4 OSPF Interfaces Edit.png 5 OSPF Interfaces LAN passive.png 6 OSPF Interfaces.png

Теперь самое интересное.
Как выдать OSPF-клиенту маршрут в сеть ЗА сервером (напр., в сеть, к -ая подключена по VPN к серверу) или наоборот?
Долго перебирал варианты. Пока не наткнулся на https://forum.netgate.com/topic/144153/frr-ospf-distribute-route-for-openvpn-interface/
Делаем так. В FRR Global Settings на сервере в самом низу в Subnet пишем адрес сети, путь к к-ой хотим по OSPF выдать клиенту.
НО, маску пишем не ту, к-ая у вас изначально, а перекрывающую ее. Напр., вам надо выдать клиенту по OSPF путь в сеть 192.168.1.0/24 за сервером.
Для этого пишем в Subnet на сервере 192.168.0.0/23 и в Static Route Target выбираем Interface:Localhost. В топике по ссылке выше
объяснено почему (FreeBSD only supports one route per matching network so your FRR static route wouldn't stick
because FreeBSD already has a route in its kernel routing table for the same network. Using a supernet works because
that route doesn't already exist in your routing table.) И правила fw на клиенте\сервере поправить по ситуации не забываем.

OSPF Neighbors
Neighbor ID Pri State Dead Time Address Interface RXmtL RqstL DBsmL
10.0.0.1 1 Full/DROther 16.819s 10.0.4.1 ovpnc2:10.0.4.2 0 0 0
10.0.0.1 1 Full/DROther 16.834s 10.0.4.5 ovpnc3:10.0.4.6 0 0 0

OSPF network routing table
============ OSPF network routing table ============
N 10.0.0.0/24 [20] area: 0.0.0.0
via 10.0.4.1, ovpnc2
N 10.0.1.0/24 [10] area: 0.0.0.0
directly attached to vtnet1

============ OSPF router routing table =============
R 10.0.0.1 [10] area: 0.0.0.0, ASBR
via 10.0.4.1, ovpnc2

============ OSPF external routing table ===========
N E2 192.168.100.0/28 [10/20] tag: 0
via 10.0.4.1, ovpnc2
N E2 192.168.101.0/28 [10/20] tag: 0
via 10.0.4.1, ovpnc2

Зы. Насчет скорости переключения в случае пропадания\появления одного из каналов. Это происходит не мгновенно. За это отвечают параметры Retransmit Interval, Hello Interval, Dead Interval в настройках OSPF Interface. По умолчанию это ~50 сек ( Hello Interval 10 сек + Dead Interval 40 сек - соотношение 1:4) Крутите их, если надо быстрее\медленнее.

pigbrother

@werter Спасибо.
Если можно, пару вопросов:

Почему FRR, а не Quagga?
2.Почему P2P Shared key? Для простоты? Будет ли работать с PKI?

werter

Добрый.

Пакет FRR новее. Пакет Quagga не обновляется с февраля 19-го
P2P с сертификатом должен работать. Пробуйте.

pigbrother

@werter
Смущает этот костыль:

@werter said in Два провайдера и openvpn клиент:

НО, маску пишем не ту, к-ая у вас изначально, а перекрывающую ее. Напр., вам надо выдать клиенту по OSPF путь в сеть 192.168.1.0/24 за сервером.

werter

@pigbrother
Ответ описан выше (со ссылкой).

FreeBSD only supports one route per matching network so your FRR static route wouldn't stick
because FreeBSD already has a route in its kernel routing table for the same network. Using a supernet works because
that route doesn't already exist in your routing table