Как посоветуете сделать отказоустойчивость?

Question

[Талян]

Имеется вот такая топология между тремя филиалами.



Все роутеры - микротики.
R1, R2, и R3 имеют по два интернет канала с белыми айпишниками.

R1 и R2 в одном городе и соединены физическим оптическим каналом от ростелекома, в этом канале поднят GRE+IPSEC. Так R1 и R2 видят друг друга.

R3 находится в другом городе, и имеет связность с R1 через R1:WAN1 - R3:WAN1, где поднят GRE+IPSEC.

Маршруты везде прописаны статически.

Филиалов будет больше, и во-первых:
Я буду поднимать OSPF, чтобы не лямзить вручную маршруты везде. Когда офиса 3 - это терпимо. Потом мне лень будет везде заходить и что-то там прописывать.
Во-вторых, как видите, если рухнет R1, то все упадёт нафиг, поэтому хочется использовать на каждом роутере по два внешних айпишника.

Вопрос такой:
Как поведет себя OSPF если например R1 и R2 ,будут связаны не только через оптику, но и через

1) GRE over Optical, который сейчас есть
2) GRE over R1:WAN1-R2:WAN1
3) GRE over R1:WAN2-R2:WAN2

не жирно ли?
А если упадёт оптика, R1:WAN1 и R2:WAN2 (внезапно).
Как быть?

Кроме того 3 туннеля между двумя роутерами - в них что, STP поднимать надо будет и вешать его на туннели, чтобы они не кольцевались?

А если еще связать R3 и R2, чтобы при падении R1 они оставались на связи, тоже образуется петля R1-R2-R3 - тут тоже STP?

Comments

[korsar182]

Не хотите заморачиваться с OSPF - создайте на филиалах сети /24 и маршруты /16 с разной дистанцией на центральный хаб.

[Талян]

korsar182, не понял, что значит не хочу. Я в вопросе явно указал, что хочу))

[korsar182]

Талян, если Вы упоминаете STP и OSPF в одном предложении и рассматриваете последний только как средство не прописывать много маршрутов, статическая маршрутизация не выглядит такой уж плохой.

[Валентин]

А зачем GRE+IPSec через оптику L2VPN?

Если на второй площадке тоже есть интернет, имеет смысл с R3 на R2 также поднять GRE. Ну и запустить OSPF. Но что-то я подозреваю, что и интернет, и L2VPN идёт по одному и тому же кабелю.
Прежде чем использовать WAN2 (как я понимаю, secondary адреса), ответьте на вопрос - WAN1 и WAN2 приходят от разных провайдеров и разным кабелем?

[Талян]

Валентин, да, разные кабели, и оптика л2 тоже отдельно. IPSEC там нужен, чтобы провайдер не видел трафик.

Answer 1

[Максим Корнеев]

советую заплатить тому кто понимает как сделать то что вы хотите.
ну и в не надо в тз писать всякий бред как Вы сделали сейчас . пишите сразу что вам нужно получить. кстати подумайте зачем вам l2 VPN и какая топология вам нужна.

Comments

[Талян]

Ну я уж тогда лучше сразу уволюсь) Года 2 назад работал сетевым инженером в интернет провайдере, но потом случилось затишье, и я работал вкручивателем лампочек/прибивателем гвоздей в компании, в которой абсолютно не интересно работать, но зато ЗП была в 2.5 раза выше, чем в провайдере. В итоге лампочки крутить надоело, ушёл в сисадмины.

И довольно сложно после года перерыва работы с сетями, цисками, их удобным CLI, и линуксами - перейти вдруг на администрирование виндовсов, зоопарком оборудования (у нас в стойке стоят HPE, Ubiquiti, Mikrotik CCR). Пока изучаешь роли виндовс сервера, параллельно переучиваясь с консоли на виндячий GUI. А еще вообще капец - это то что например HPE не умеет в CLI, только WEB, и ооочень тормознутый при чем. Кроме того например у Ubiquiti в доках написано: Настраивайте либо через веб, либо через CLI ибо CLI и WEB несовместимы (прям так и написано - команда в CLI может испортить настройку в WEB и все сломается). И приходится тыкать мышкой в вебе, так как начальник CLI не уважает.

Конечно я от такого потока стресса подтупливаю. Так что вот так)

[Максим Корнеев]

Талян, извините, но то что Вы написали в вопросе на сетевого инженера не тянет. например я не могу понять зачем Вам вам связанность L2 между филиалами, и фулмеш сеть между ними, и почему Вы решили что для этого нужно иметь не менее 2х белых адресов в каждом филиале и все это при том что у Вас даже SLI для сети нет. и что же Вы на самом деле у ростелекома покупаете - неужели арендуете черную оптику*? и если хватило денег на это по почему на границе микротики и внутри зоопарк? у меня есть подозрение, что Вы не понимаете что у Вас есть, что Вам нужно и как реализовать желаемое. именно по этому Вам сначала нужно найти специалиста который во всем этом разберется и предложит подходящие варианты решения. пока что Вы задаете совсем не правильные вопросы ответы на которые не приблизят Вас к решению конечной задачи.

[Максим Корнеев]

ответы на заданные вопросы тут https://www.cisco.com/c/en/us/support/docs/ip/open... ну или гугл в помошь.