Как правильно сконфигурировать CARP для HA кластера на FreeBSD для маршрутизации трафика между VLAN?

Question

[Михаил Блохин]

Добрый вечер, друзья.
Собственно, опишу возникшую проблему.
У меня имеется сервер под управлением FreeBSD, использующийся в качестве шлюза по умолчанию для 66 VLAN'ов.
Карта сети выглядит примерно так: клиентский ПК --> Этот сервер на FreeBSD --> Маршрутизатор --> Интернет.
На сервере настроен брандмауэр для разграничения доступа между VLAN и отсеивания лишнего трафика.
Нужно обеспечить отказоустойчивость этого сервера при помощи запасного сервера, который бы находился в холодном резерве.
Мой выбор пал на CARP в связке с pfsync. Подскажете правильную конфигурацию такого решения?

Answer 1

[athacker]

Так а в чём конкретно вопрос? Выбор правильный, в качестве роутера такая связка будет работать отлично. Ничего специфического, никаких подводных камней в настройке нет -- делайте по мануалу, и всё.

Единственный момент, который я бы сделал, наверное, это служебный трафик CARP и pfsync вынес бы в отдельный влан, который в сети нигде больше не присутствует, только на коммутаторе между этими двумя серверами. Но в принципе, это не обязательно, просто так идеологически будет правильнее -- меньше вероятность того, что враги смогуть заспуфить CARP-пакеты и сломать связку :-)

Comments

[Михаил Блохин]

А как быть с 66 подсетями? Нужно на обоих серверах задать одинаковую конфигурацию, в которой указывать в качестве адреса шлюза - общий адрес, поддерживаемый CARP?

И еще. У меня почему-то не работает CARP по VLAN. Статус зависает на INIT. Удалось добиться корректной работы лишь при помощи Alias следующим образом:
ifconfig_em0="inet 10.0.1.20/24"
ifconfig_em0_alias0="vhid 1 advskew 0 pass test alias 10.0.1.130/24"

[athacker]

А как быть с 66 подсетями? Нужно на обоих серверах задать одинаковую конфигурацию, в которой указывать в качестве адреса шлюза - общий адрес, поддерживаемый CARP?

Вопрос не понял. У вас статическая маршрутизация на 66 сетей?

У вас CARP IP должен только клиентам отдаваться, в качестве шлюза по умолчанию. А если у вас там где-то ещё маршрутизаторы в другие сети, то с ними лучше по протоколам динамической маршрутизации работать. И для этой цели ваши сервера должны иметь разные IP.

А что такое "работа CARP по VLAN"? :-) Я в приведённом вами конфиге VLAN-интерфейса не вижу :-)