OpenVPN клиент и два провайдера
-
Здравствйте!
Подскажите пожалуйста, есть pfSense с OVPN клиентом, у роутера подключены основной и резервный провайдеры, и настроено переключение в случае отвала основного.
На pfSense создано два клиента на оба ip-адреса.
Как настроить чтобы в случае отсутствия пинга до адреса 91.-, первый клиент отключался и включался второй на 31.-? И соответственно обратно.
Или как ещё можно реализовать переключение?
-
@dreamscafe Я сделал так:
https://forum.netgate.com/topic/143056/openvpn-and-gateway-group/3
Один минус в моем случае - клиент не уходит с резервного провайдера, когда поднимается основной -
Добрый
@dreamscafe
Оба подключения с пф к одному и тому же серверу?
Что на том конце сервером трудится? -
@pigbrother Почитаю, спасибо, но хотелось бы полной автоматизации
@werter Да к одному и тому же, тоже pfSense с OVPN сервером
-
Да к одному и тому же, тоже pfSense с OVPN сервером
Тогда рекомендую настроить ospf поверх ovpn (или ipsec vti - лучше по скорости, чем овпн)
Это динамическая марш-ция между пф. У меня так 15 филиалов с центром связаны уже 2 года. Скорость переключения с основного на резерв и обратно менее 10 сек.Вот так это выглядит на клиенте
OVPN
OSPF (пакет FRR)
Надумаете, стучитесь в ЛС )
-
@werter О благодарю, попробую такой же вариант
-
Порядок действий
Настраиваете backbone area общую для всех.
Например:
туннельная сеть-1 между пф имеет адресацию 10.0.0.1/30
туннельная сеть-2 - 10.0.0.4/30
Тогда backbone area на обоих будет 10.0.0.0/28 ( можно и 10.0.0.0/24, но это жирно)И настраиваете area на каждом из пф для их локальных сетей.
Добавляете LAN-интерфейсы в Passive на каждом из пф.Пример есть тут https://docs.netgate.com/tnsr/en/latest/recipes/ospf-abr/index.html Он не для пф в чистом виде, но общий посыл понятен.
Вот тут для bgp https://blog.matrixpost.net/set-up-dynamic-routing-with-frr-free-range-routing-in-pfsense-openbgpd-now-depricated/
-
И тут https://docs.netgate.com/pfsense/en/latest/packages/frr/ospf/index.html
-
@werter Благодарю, поизучаю.
А нельзя по аналогии как можно сделать на mikrotik'е, написать скрипт который будет проверять доступность адреса и включать/выключать подключения по доступности? -
@dreamscafe
Настройте один раз bgp или ospf и не надо никаких скриптов. -
Вот тут немецкий коллега про ospf хорошо https://www.youtube.com/watch?v=zkiV7GamITk
-
@werter said in OpenVPN клиент и два провайдера:
Вот тут немецкий коллега про ospf хорошо
А если попросить вас краткий мануал создать? Картинок, по идее, там немного. На основании вашего личного опыта, так сказать.
-
@pigbrother
И рад бы.
Но доступ у меня не полный к центральному пф (
Могу только с клиента скрины (выше давал)Для bgp https://blog.matrixpost.net/set-up-dynamic-routing-with-frr-free-range-routing-in-pfsense-openbgpd-now-depricated/ мне кажется легче, чем ospf
Если получу доступ к центр. пф - сделаю.
-
@werter said in OpenVPN клиент и два провайдера:
Если получу доступ к центр. пф - сделаю.
Заранее благодарен.
-
Я предлагаю @dreamscafe вместе попробовать )
Если он не против и постучится в ЛС ко мне. -
@werter Я изучу документацию и буду пробовать, если будут сложности конечно отпишусь
-
@dreamscafe
Пробуйте оба варианта - и bgp и ospf. -
Вот тут https://youtu.be/4IlKcB17rWk с 51:15 довольно понятно про настройку OSPF.
-
@werter верно ли я понимаю, что OSPF должен поддерживаться на всех узлах?
-
@pigbrother
Да, верно. На обоих сторонах должна быть поддержка (не забыть открыть доступ по протоколу ospf на интерфейсе).
Кстати, тотже микротик вполне подойдет. Даже dd-wrt умеет ospf. -
@werter said in OpenVPN клиент и два провайдера:
На обоих сторонах должна быть поддержка
Тогда все немного печальнее. На стороне, куда коннектится клиентом мой PF придется уговорить тамошнего админа организовать OSPF, а ему это не нужно, причем не нужно реально в силу топологии сети.
@werter said in OpenVPN клиент и два провайдера:
тотже микротик вполне подойдет
Это я знаю. Он умеет и BGP.
-
@pigbrother
МТ умеет оч много ) И недорого. Сам сейчас плотно им занялся.
Но там философия другая (iptables).
С одними только маркировками (когда и какие пользовать) ноги сломать можно (марк пакет - примечание к КОНКРЕТНОМУ ПАКЕТУ
марк конекшн - вычленяет пакеты нужного конекшина(конекшин определяется конекшн трекером на основании пары срц. адрес:порт-дст.адрес:порт) и вешает им это примечание
марк роутинг - указывает что даный пакет(подпавший под правило манглов) будет использовать указаную таблицу маршрутизацииВажно Запомнить!
Маркировка пакетов - это для Queues.
Маркировка маршрутов - это для Route.
Маркировка соединениий - это для фаервола. (Для дальнейшего использования в правилах)Зы. Вот так учусь ))
-
@werter said in OpenVPN клиент и два провайдера:
С одними только маркировками (когда и какие пользовать) ноги сломать можно (
Да. "Правильный" multiwan, например, до сих пор предмет дискуссий.
В свое время вы о Микротик отзывались не очень . ))
В интернете полно статей откровенно глупых. Многие написаны для версий ROS до 6.41, после которой изменилась работа с бриджами (исчезла такая сущность, как мастер-порт)
Нравятся статьи отсюда:
https://interface31.ru/tech_it/mikrotik/
Мне МТ, как писал годы назад, нравится легкостью повторения конфигурации на МТ любой цены и модели, достаточно слегка подправить выгруженный RSC.Ну и откровенно неважный Wi-Fi в моделях без поддержки 5Ghz, но это уже совсем другая история (С).
