Navigation

    Netgate Discussion Forum
    • Register
    • Login
    • Search
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search

    OpenVPN клиент и два провайдера

    Russian
    3
    23
    443
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • D
      dreamscafe last edited by

      Здравствйте!
      Подскажите пожалуйста, есть pfSense с OVPN клиентом, у роутера подключены основной и резервный провайдеры, и настроено переключение в случае отвала основного.
      На pfSense создано два клиента на оба ip-адреса.
      Как настроить чтобы в случае отсутствия пинга до адреса 91.-, первый клиент отключался и включался второй на 31.-? И соответственно обратно.
      Или как ещё можно реализовать переключение?
      ovpn.jpg

      P werter 2 Replies Last reply Reply Quote 0
      • P
        pigbrother @dreamscafe last edited by pigbrother

        @dreamscafe Я сделал так:
        https://forum.netgate.com/topic/143056/openvpn-and-gateway-group/3
        Один минус в моем случае - клиент не уходит с резервного провайдера, когда поднимается основной

        1 Reply Last reply Reply Quote 0
        • werter
          werter @dreamscafe last edited by

          Добрый
          @dreamscafe
          Оба подключения с пф к одному и тому же серверу?
          Что на том конце сервером трудится?

          D 1 Reply Last reply Reply Quote 0
          • D
            dreamscafe @werter last edited by

            @pigbrother Почитаю, спасибо, но хотелось бы полной автоматизации

            @werter Да к одному и тому же, тоже pfSense с OVPN сервером

            werter 1 Reply Last reply Reply Quote 0
            • werter
              werter @dreamscafe last edited by werter

              @dreamscafe

              Да к одному и тому же, тоже pfSense с OVPN сервером

              Тогда рекомендую настроить ospf поверх ovpn (или ipsec vti - лучше по скорости, чем овпн)
              Это динамическая марш-ция между пф. У меня так 15 филиалов с центром связаны уже 2 года. Скорость переключения с основного на резерв и обратно менее 10 сек.

              Вот так это выглядит на клиенте
              OVPN
              ovpn.png

              OSPF (пакет FRR)
              ospf.png

              Надумаете, стучитесь в ЛС )

              D 1 Reply Last reply Reply Quote 1
              • D
                dreamscafe @werter last edited by

                @werter О благодарю, попробую такой же вариант

                werter 1 Reply Last reply Reply Quote 0
                • werter
                  werter @dreamscafe last edited by werter

                  @dreamscafe

                  Порядок действий
                  Настраиваете backbone area общую для всех.
                  Например:
                  туннельная сеть-1 между пф имеет адресацию 10.0.0.1/30
                  туннельная сеть-2 - 10.0.0.4/30
                  Тогда backbone area на обоих будет 10.0.0.0/28 ( можно и 10.0.0.0/24, но это жирно)

                  И настраиваете area на каждом из пф для их локальных сетей.
                  Добавляете LAN-интерфейсы в Passive на каждом из пф.

                  Пример есть тут https://docs.netgate.com/tnsr/en/latest/recipes/ospf-abr/index.html Он не для пф в чистом виде, но общий посыл понятен.

                  Вот тут для bgp https://blog.matrixpost.net/set-up-dynamic-routing-with-frr-free-range-routing-in-pfsense-openbgpd-now-depricated/

                  1 Reply Last reply Reply Quote 0
                  • werter
                    werter last edited by

                    И тут https://docs.netgate.com/pfsense/en/latest/packages/frr/ospf/index.html

                    D 1 Reply Last reply Reply Quote 0
                    • D
                      dreamscafe @werter last edited by

                      @werter Благодарю, поизучаю.
                      А нельзя по аналогии как можно сделать на mikrotik'е, написать скрипт который будет проверять доступность адреса и включать/выключать подключения по доступности?

                      werter 1 Reply Last reply Reply Quote 0
                      • werter
                        werter @dreamscafe last edited by

                        @dreamscafe
                        Настройте один раз bgp или ospf и не надо никаких скриптов.

                        1 Reply Last reply Reply Quote 0
                        • werter
                          werter last edited by

                          Вот тут немецкий коллега про ospf хорошо https://www.youtube.com/watch?v=zkiV7GamITk

                          P 1 Reply Last reply Reply Quote 0
                          • P
                            pigbrother @werter last edited by

                            @werter said in OpenVPN клиент и два провайдера:

                            Вот тут немецкий коллега про ospf хорошо

                            А если попросить вас краткий мануал создать? Картинок, по идее, там немного. На основании вашего личного опыта, так сказать.

                            werter 1 Reply Last reply Reply Quote 0
                            • werter
                              werter @pigbrother last edited by werter

                              @pigbrother
                              И рад бы.
                              Но доступ у меня не полный к центральному пф (
                              Могу только с клиента скрины (выше давал)

                              Для bgp https://blog.matrixpost.net/set-up-dynamic-routing-with-frr-free-range-routing-in-pfsense-openbgpd-now-depricated/ мне кажется легче, чем ospf

                              Если получу доступ к центр. пф - сделаю.

                              P 1 Reply Last reply Reply Quote 1
                              • P
                                pigbrother @werter last edited by

                                @werter said in OpenVPN клиент и два провайдера:

                                Если получу доступ к центр. пф - сделаю.

                                Заранее благодарен.

                                werter 1 Reply Last reply Reply Quote 0
                                • werter
                                  werter @pigbrother last edited by

                                  @pigbrother

                                  Я предлагаю @dreamscafe вместе попробовать )
                                  Если он не против и постучится в ЛС ко мне.

                                  D 1 Reply Last reply Reply Quote 0
                                  • D
                                    dreamscafe @werter last edited by

                                    @werter Я изучу документацию и буду пробовать, если будут сложности конечно отпишусь

                                    werter 1 Reply Last reply Reply Quote 0
                                    • werter
                                      werter @dreamscafe last edited by

                                      @dreamscafe
                                      Пробуйте оба варианта - и bgp и ospf.

                                      werter 1 Reply Last reply Reply Quote 0
                                      • werter
                                        werter @werter last edited by werter

                                        Вот тут https://youtu.be/4IlKcB17rWk с 51:15 довольно понятно про настройку OSPF.

                                        P 1 Reply Last reply Reply Quote 0
                                        • P
                                          pigbrother @werter last edited by

                                          @werter верно ли я понимаю, что OSPF должен поддерживаться на всех узлах?

                                          werter 1 Reply Last reply Reply Quote 0
                                          • werter
                                            werter @pigbrother last edited by werter

                                            @pigbrother
                                            Да, верно. На обоих сторонах должна быть поддержка (не забыть открыть доступ по протоколу ospf на интерфейсе).
                                            Кстати, тотже микротик вполне подойдет. Даже dd-wrt умеет ospf.

                                            P 1 Reply Last reply Reply Quote 0
                                            • P
                                              pigbrother @werter last edited by

                                              @werter said in OpenVPN клиент и два провайдера:

                                              На обоих сторонах должна быть поддержка

                                              Тогда все немного печальнее. На стороне, куда коннектится клиентом мой PF придется уговорить тамошнего админа организовать OSPF, а ему это не нужно, причем не нужно реально в силу топологии сети.

                                              @werter said in OpenVPN клиент и два провайдера:

                                              тотже микротик вполне подойдет

                                              Это я знаю. Он умеет и BGP.

                                              werter 1 Reply Last reply Reply Quote 0
                                              • werter
                                                werter @pigbrother last edited by werter

                                                @pigbrother
                                                МТ умеет оч много ) И недорого. Сам сейчас плотно им занялся.
                                                Но там философия другая (iptables).
                                                С одними только маркировками (когда и какие пользовать) ноги сломать можно (

                                                марк пакет - примечание к КОНКРЕТНОМУ ПАКЕТУ
                                                марк конекшн - вычленяет пакеты нужного конекшина(конекшин определяется конекшн трекером на основании пары срц. адрес:порт-дст.адрес:порт) и вешает им это примечание
                                                марк роутинг - указывает что даный пакет(подпавший под правило манглов) будет использовать указаную таблицу маршрутизации

                                                Важно Запомнить!
                                                Маркировка пакетов - это для Queues.
                                                Маркировка маршрутов - это для Route.
                                                Маркировка соединениий - это для фаервола. (Для дальнейшего использования в правилах)

                                                Зы. Вот так учусь ))

                                                2021-05-28 10_02_21.png

                                                P 1 Reply Last reply Reply Quote 1
                                                • P
                                                  pigbrother @werter last edited by pigbrother

                                                  @werter said in OpenVPN клиент и два провайдера:

                                                  С одними только маркировками (когда и какие пользовать) ноги сломать можно (

                                                  Да. "Правильный" multiwan, например, до сих пор предмет дискуссий.

                                                  В свое время вы о Микротик отзывались не очень . ))
                                                  В интернете полно статей откровенно глупых. Многие написаны для версий ROS до 6.41, после которой изменилась работа с бриджами (исчезла такая сущность, как мастер-порт)
                                                  Нравятся статьи отсюда:
                                                  https://interface31.ru/tech_it/mikrotik/
                                                  Мне МТ, как писал годы назад, нравится легкостью повторения конфигурации на МТ любой цены и модели, достаточно слегка подправить выгруженный RSC.

                                                  Ну и откровенно неважный Wi-Fi в моделях без поддержки 5Ghz, но это уже совсем другая история (С).

                                                  1 Reply Last reply Reply Quote 1
                                                  • First post
                                                    Last post