Как организовать Failower IPSEC туннель на FreeBSD?

Question

[Дмитрий Шицков]

Добрый день!
Есть подконтрольный мне офис со шлюзом на FreeBSD (1 провайдер) и удалённый офис "дружественной" компании с pfsense (2 провайдера).
На PFsense настроен failower на 2 провайдера, причем IPSEC-туннель поднимается на любом из интерфейсов. Провайдеры там падают попеременно с завидной регулярностью.
Подскажите, смогу ли я на моей FreeBSD поднять 2 туннеля в одну и ту же удалённую подсеть? Или придётся городить up/down скрипты и менять туннели в случае падения одного из провайдеров?

Answer 1

[cssman]

только костыли со скриптами :(

а провайдер предоставляет l2 или l3? может попробовать lacp если l2?

Comments

[Дмитрий Шицков]

На моей стороне 1 провайдер, так что с моей стороны lacp не поможет ника. А на pfsense работает такая схема, причем без костылей, lacp и независимых провайдерах.

[cssman]

так на pfsense 2 провайдера каких, они дают каждый свой белый адрес? или это l2? CARP или LACP были бы решением вашей задачи, если сделать 2 линка с вашей стороны. если у вас один линк - то, только костыли со скриптами.
динамика, как говорит athacker , на pfsence в текущей конфигурации не взлетит.

[Дмитрий Шицков]

cssman: каждый свой белый. Там кажется 2 обычных домовых провайдеров. С моей стороны линк 1. Чую, буду кустарить переключение между туннелями...

[cssman]

Дмитрий Шицков: тогда только скриптами, увы :(
или менять что-то на стороне "дружественной" компании

Answer 2

[athacker]

Динамическая маршрутизация спасёт благородного дона. Поднимите в обоих туннелях две BGP-сессии, анонсируйте в туннелях два маршрута в удалённую подсеть, только с разными приоритетами. Если отвалится один туннель -- маршрутизация перейдёт на другой. IPSec, кстати, лучше строить будет где-нибудь на loopback-адресе удалённой сети, чтобы этот адрес был доступен, независимо от того, через какой туннель доступна удалённая площадка.

Только не уверен, что PFSence умеет BGP. Возможно, придётся ставить чистую фрю.

Comments

[Дмитрий Шицков]

Для этих целей подойдёт и OSPF. BGP - это пушка для стрельбы по мухе)) Но может ли его pfsense - тоже вопрос. Плюс - не подконтрольный мне офис, заставить что-то делать тамошнего админа сложно. Попытка организовать феиловер моя инициатива.

[athacker]

Дмитрий Шицков: BGP вполне подходит для такой задачи.
Если удалённый админ ничего делать не хочет, и заставить его нельзя -- ну, тогда только костыли на скриптах, да.