Как лучше объединить филиалы?

Question

[Pavel]

Коллеги! Товарищи! Прочитав тонну документации не могу для себя понять как правильно сделать следующую задачу.
Есть ЦО и 30 филиалов. Задача объединить эти филиалы в одну зону видимости. Чтобы каждый mikrotik видел подсети другого mikrotik.
Решение как я понял для себя - это:
- объединить их все в одну подсеть через vpn;
- настройка динамической маршрутизации ospf.

Сейчас работает все через IPSec и связь есть филиалов с ЦО.Но между филалами естественно связи нет. Как правильно сделать? (вообще все началось из-за VoIP трафика, так как RTP работает, а голос не идет, так как все должно быть в одной сети).

Comments

[ТыжСисАдмин]

Судя по всему, вам осталось только OSPF поднять и всё :)

[Pavel]

Нет. Чтобы работал OSPF - нужна зона прямой видимости (все маршрутизаторы в одной сети) либо AS (автономная система). Если я не прав, то поправьте меня.

Answer 1

[Pavel]

Всем Спасибо!
Вот полный ответ для людей ищущих ответ на тот же вопрос, что и я.
В текущей структуре у меня получилось топология по типу "звезда", в которой ядро - это Cisco 2811, а лучи - Mikrotik RB951. Да, лучше конечно же полносвязную топологию, но уж очень получится адово в плане администрирования - на каждом Микротике по 30 туннелей :). Если хочеться полносвязности, то лучше всего Cisco DMVPN (но дорого, хотя работает красиво и четко).
1. Делаем GRE туннели.
2. Настраиваем IPSec в ТРАНСПОРТНОМ режиме.
3. После чего поднимаем OSPF, чтобы цыска обменивалась маршрутами с микротиками через туннели.

В такой связке у меня заработало. Радости нет предела) Конечно настройки там еще далеки от идеала, но начало есть. Позже отпишусь когда все будет работать в продакшене.

P.S.: сегодня запустил в продакшн. Все отлично и работает. Звук ходит между телефонами, в чем изначально и состояла задача. Работает GREoverIPSec в ТРАНСПОРТНОМ режиме. NAT-Traversal (то есть три точки находятся за NAT) тоже работает. Маршрутизация - через OSPF. Конечно единственный минус - это центральный роутер в ЦО, возможно в будущем как-то получится избавиться от слабого места. Всем спасибо!!!

Answer 2

[Дмитрий Александров]

Если хочется полегче и децентрализовано(чтобы небыло центрального звена которое может уронить всю сеть) то делай GRE тунели с IPSEC между каждым тиком. Настраивается очень быстро, работает надежно. Самое важное поставь правильные MTU и MSS.

Comments

[Дмитрий]

/sarcasm_on
ага, в каждой точке по 30 тунелей и столько же маршрутов. А если ещё по два канала, то администрировать и трабшутить такое ещё легче

[Pavel]

Дмитрий Дмитрий

А что Вы тогда посоветуете? Ну понятно, что хочется полегче, но лучше всего как правильно.
Ну конечно да... 30 туннелей это круто, но может быть Вы подскажете какой-то более красивый выход?
По поводу GRE over IPSec я сейчас читаю, вроде бы это то, что должно помочь. То есть я думаю настроить GRE over IPsec, затем сделать OSPF внутри тоннелей. Другого выхода я пока не вижу. Взываю к коллегам которые решали подобные задачи, какие инструменты Вы использовали? Спасибо.

[Дмитрий Александров]

Дмитрий: про несколько канал на каждом тике в вопросе сказано не было.
Pavel: опять же если нет нескольких каналов в каждом тике то смысла в OSPF тоже никакого нет.
Если планируется все делать только на микротиках то можно еще глянуть на EOIP фирменный. EOIP может только RouterOS, вот если предвидятся что то другое то лучше GRE.

[Pavel]

Спасибо. К сожалению у меня в филиалах Микротики, а в ЦО - Cisco. По этому скорее всего это будет выглядеть следующим образом: GRE over IPSec. Вот только вопрос будет, чтобы не прописывать по 30 маршрутов к разным сетям. По этому думаю над динамической маршрутизацией.