Как разделить сеть с помощью двух провайдеров?

Question

[1cenera]

Нужна Ваша помощь, коллеги, в школе есть два провайдера - Нетком, Ростелеком. Нетком нужен для того, чтобы все кабинеты (не учебные классы) работали на нормальном высокоскоростном интернете, а Ростелеком (со своим ЕСПД) работал с учебными классами, трафик фильтровался, а потом с помощью КМУТ весь мониторинг уходил Ростикам. Нужно логически и физически сеть разделить правильно так, чтобы кабинеты остались на Ростиках, а остальная часть школы на Нетком перевести.
Загвоздка в том, что т.к. от терминала кабель приходит и в шлюз Ростиков (ЕСПД) и в Микрот, то адреса выдаются рандомно (потому что два DHCP сервера работают). Я могу создать VLAN, перевести нужную часть сети на этот VLAN, также сделать для этого VLAN DHCP-сервер на микроте и это нужный мне Нетком, но Ростелеком продолжал выдавать свой DHCP. Так работало, интернет был, но потом через время появилась еще загвоздка одна в том, что интернет через какое-то время перестал работать, т.е. адрес он ловит, а в интернет не выходит, хотя и значок отображает мол интернет есть, в какую сторону копать?
Также пробовал напрямую с микрота раздать кабелем на ноут (при этом отключая Ростелеком полностью от терминала), результат тот же - влан нужный есть, а интернета нет, окей, я удалил VLAN, но интернета все равно нет. Пробовал потом напрямую цепляться от терминала кабелем до ноута (минуя микрот и при этом Ростики выключены) - результат нулевой.
Точно тоже самое было при подключении Неткома, они поставили свое оборудование, на микроте адрес по DHCP на интерфейсе висит (который смотрит в интернет), с Микрота пинги на 8.8.8.8 выдает таймаут, потом прошла неделя +- и все чудесным образом заработало.
И еще интересно то, что Микрот по DHCP ловит иногда DNS ростиков, а не Неткома.
Схему нарисовал, прикладываю, инфраструктурой занимались 15 лет назад, переделывать никто не брался, а я только пришел в этот АД(

Comments

[Dieman666]

какая-то откровенно говоря каша.
зачем от неткома идёт линк к еспд, если ты сам утверждаешь, что к нему ростелеком приходит?

[1cenera]

да я тебе больше скажу, инфраструктуру всю не я выстраивал, а ребята, которые работают в неткоме (выездные мастера), сис который уволился лет 5 назад и все это стоит с 2007-2009 года, я ж сам говорю что знатно так припух когда это все увидел
почему от неткома идет линк к ЕСПД я тоже абсолютно не понимаю, смысла я тоже от этого не вижу

[Ziptar]

1cenera, здесь должна быть картинка с пингвином и двумя ножами, которому вместо ножей прифотошоплены кусачки
А так либо переделывать все, либо решать текущие проблемы, главная из которых - почему отваливается интернет (сам вектор движения то верный). А для этого надо четко фиксировать как именно он отваливается, какой трафик куда не идет или откуда не возвращается, и почему. Индикация винды на тему есть/нет - очень ненадежная штука. Но при фактическом отсутствии возможности достучаться до внешних сайтов индикация наличия инета может свидетельствовать о том, что доступ к днс при этом есть. Если днс завернут на внутренний ретранслятор, например на роутере, а у него доступ в интернет (и внешним днс) есть - запросто такое может быть. Хотя через некоторое время он все равно очухаться должен, т.к. там в процедуре определения наличия инета http-запрос производится.

[1cenera]

Ziptar, вообще теоретически есть ли нужда и возможность допустим пустить отдельную оптику от ростиков, которая будет идти чисто через медиаконвертер в их шлюз ЕСПД-шный? вот таким физическим образом разделить, необязательно чтобы сетки общались даже между собой.
я понимаю что это все бредятина и в нормальной компании за такое пальцы поотшибают, но сделать хоть как-то но надо, ВАЖНО ЧТОБЫ ПРОСТО РАБОТАЛО, а не КАК в этом месте)))
обычно все это решается сервером-шлюзом в который просто все провайдеры втыкнуты и дальше можно раскидывать как душе угодно, но тут сервером называется сборка на i3 + 32гб ddr3 чтобы просто какой-нибудь заббикс поднять и хоть как-то худо бедно это все мониторить + впн на микроте поднять чтобы доступ к сетке имелся))
понятно что тогда не будет доступа до сегмента ростиков заббиксом, но там и классы учебные, с ними проблем не бывает, хотя бы так

[Dieman666]

1cenera,
ну в общем я бы отрубил этот кабель между терминалом и еспд и посмотрел на результат чисто для интереса.
вообще хорошо бы знать, как терминал настроен, имеет ли свой dhcp сервер, поднимается ли на нём интернет соединение или он бриджом настроен.
а так видимо где-то ещё есть перекрестный кабель, который оба шлюза (микротик и еспд) в одну сетку соединяет и дает на выходе проблемы с двумя dhcp. тут уже только все кабеля ходить прозванивать, какой куда идет.
ибо по крайней мере если судить по скрину, даже непонятки с этим кабелем к еспд, он в любом случае находится до микротика

[1cenera]

Dieman666, там ни флюка ни нояфы, даже жесткого нет чтобы в сервак подкинуть, свое везу с хлама списанного что маломальски живое, буду с бубном танцевать, кстати хорошо напомнили мне про перекрестный кабель, тоже проскакивала такая мысль
на терминал зайду, попробую потыкаться, но как мне спецы с ростиков и неткома говорили, у них там прямой bridge прокинут был (до этого четырехпортового чуда стоял однопортовый XPON onu, который просто в режиме моста работал), я не думаю что это чудо техники работает по-другому как-то, скорее всего тоже просто мост, но на кофейной гуще гадать не буду, гляну

[Ziptar]

ЕСПД это в точности что такое? Судя по (очень) беглому гуглению это коробка с прокси или впном государственным. До неткомовского шлюза там может быть провод потому, что этой штуке банально выход в интернет нужен самой.
Потому что из фразы "а потом с помощью КМУТ весь мониторинг уходил Ростикам" очевидно, что через ртк есть мониторинг самой железки, но неочевидно, что через него есть доступ самой железки куда бы то ни было.
Если это так, то я бы поставил ЕСПД между микротом и неткомом, вторым кабелем микрот в нетком (полагая, что у еспд порты не в бридже), всё остальное вланами на микроте разрулил как надо. Ну или просто pbr. Но, честно говоря, тут правовые документы смотреть надо, а ну как там требуется физическая изоляция сетей? Тогда вланы не прокатят
Это, правда, не сильно отличается от "переделывать всё"...

[1cenera]

Ziptar, ЕСПД - коробка-шлюз, предоставляет DHCP сервер, фильтрацию трафика (прокси) и может быть вполне возможно VPN для сотрудников с ростика, доступа к их коробке не имею по понятным причинам, тут не подскажу, а так Вы все правильно сказали.
Да по сути-то надо сделать так, чтобы дети не могли заходить на сайты с запрещенным контентом, запрещенный контент - социальные сети, сайты с порно и т.д. короче фильтрация всего ненужного. По закону обязывают всем школам, техникумам и вузам это все добро ставить, дык они еще и кабель на 100 мегабит предоставляют бесплатно, спасибо большое, Ростелеком, за такую невиданную щедрость, зато бесплатно)) Поэтому на всех объектах где я был нормальные люди просто второго провайдера тянут и Ростелеком шлют в далекое пешее эротическое путешествие и просто либо трафик эмулируют чтобы штрафы многотысячные не получать за то что не используешь Ростелеком, либо садят только кабинеты студентов на Ростелеком))
Моя задача сделать так, чтобы только школьники получали эту фильтрацию, а все остальные люди работали без фильтраций, на нормальном трафике (потому что каждый раз, когда ты перезапускаешь ПК, тебе нужно через Госуслуги логиниться, это нужно чтобы интернет работал, вот так круто работает фильтрация от Ростелекома и прокси, а всех бабулек понятно дело это задолбало уже по сто раз логиниться, дык еще и интернет не с первого раза там заводится, нужно по пару раз перезаходить, сами Ростелеком даже говорят, что это нормально)

[CityCat4]

1cenera,

Поэтому на всех объектах где я был нормальные люди просто второго провайдера тянут и Ростелеком шлют в далекое пешее эротическое путешествие

Когда и если просочится информация о том, что в учебном заведении N дети ходят в дикий тырнет, как бы тебе самому не оказаться в эротическом путешествии в роли модели...

Я не вижу где в этой схеме РТК, да и вообще это не схема, а несвязанные куски какие-то... Где машины школоты, где машины сотрудников?

Здесь только переделывать все :)

[1cenera]

CityCat4, Не окажусь, эта тема годами висит и никто никогда ничего проверять не станет, если трафик идет, конечно.
Куски понятные если почитать и чуть вникнуть в саму сетевую инфраструктуру школы (она чаще всего везде одинаковая), 23,11,12 конкретные кабинеты, которые находятся в школе, там по тупому свичу везде, к нему подцеплены компы, не вижу смысла даже это зарисовывать, то что не пояснил да, согласен, ошибка.
Машины сотрудников я не отображал, потому что они отдельным кабелем тянутся до свича длинк 24 портового, т.е. все сводится к этому свичу неуправляемому (если кабинеты находятся близко к серверной), либо же если подальше, то все сводится в ящик (где написано цифрой 15), там внутри тоже тупой свич, от которого 1 кабель идет до серверной. Схема сети элементарная в плане кабинетов, но в плане внутреннего устройства со всей этой ерундой по типу шлюзов и т.д. не совсем понятно. Я в этой школе относительно недавно, даже месяца нет, поэтому не все кабинеты еще методом тыка нашел, соответственно и всей полной картины и карты сети я дать не могу, но знаю точно, что все кабинеты сводятся в один конкретный свич (что проверено), который находится либо в ящике (15), либо в серверной, а далее либо тупым свичом на класс раскинуто все, либо напрямую кабелем до компа.
Единственное что я не знаю - какой порт за что отвечает, понятно дело тут ничего не подписано, какие кабинеты смог, такие нашел, часть хвостов просто подключены к портам коммутатора были, при этом второй конец валялся где-то в кабель канале заправленный и никуда не подключенный, либо в самом ящике, что тоже непонятно.
По поводу РТК, я сам пытаюсь и понять откуда они берутся, т.к. по заявлению самих сотрудников РТК и Нетком, они говорят что провайдера два, мол якобы от них как-то приходит что-то, быть может дальше где-то что-то и приходит, но это уже по-моему не моя сторона, да и я знать не знаю как у них что устроено, но сам факт что Ростелеком так же дают интернет имеет быть, т.к. при отключении Неткома интернет Ростелекома продолжает работать.

[CityCat4]

1cenera,

Не окажусь, эта тема годами висит и никто никогда ничего проверять не станет, если трафик идет, конечно.

Это к сожалению свойство нашего государства - тема висит-висит годами, потом кто-то попадает под раздачу и на него спускают собак. Чтобы показательно. Чтобы другим неповадно.

Схема нужна, чтобы понятно было. Схема, глядя на которую ты не видишь сеть - это шляпа. Проверяется все простым и суровым методом - выдернул провод и смотришь, где пропало. Потом второй, третий и т.д.

[1cenera]

CityCat4, Ну да, по тому же принципу и работал, но есть еще нюанс - как я говорил, часть кабелей уходят в неизвестном управлении (некоторые вообще через подвал прокинуты, причем они там никак не закреплены, висят скакалке подобно, я некоторые хвосты не могу найти, да и не найду я так понимаю, потому что что-то через крышу кинуто, но где-то висит не подключено, а где-то через подвал, для примера, вот кабель, который 15 лет так лежал за вентиляцией или что это, но при этом никуда не подключенный (хотя это приходящий для одного из кабинетов)

Answer 1

[Юрий MikroTik]

Мой путь решения:
1. Поднять 2WAN (ЕСПД не включать в NAT)
2. Нужные хосты пускать с помощью PBR через нормальный интернет, все остальное по умолчанию в ЕСПД
3. Уволиться оттуда, ибо нельзя физически смешивать интернет с ЕСПД

В этом случае будет внутренняя адресация от ЕСПД.
Конечно будет идеально порезать на vlan, но не увидел управляемых коммутаторов.

Comments

[1cenera]

Понял, насчет уволиться - скоро)))
Попробую сделать так, спасибо за четкое решение по пунктам.