Как организовать резервирование интернета на входящие соединения?

Question

[LAG_LAGbI4]

Есть офис. Есть две входящие линии от разных провайдеров. Шлюз на базе kerio контрол обеспечивает балансировку и резервирование интернет канала.
Сейчас появилась задача резервировать не только исходящие, но и входящие соединения.
Единственное, что пришло в голову - это сделать dns имя на два ip адреса и в случае падения одного канала переключать днс на оставшийся канал. Но это явно не лучшая идея.

Есть какие-нибудь способы за разумные деньги осуществить резервирование в данном случае?

Comments

[abbaboka]

DNS вам не поможет решить проблему автоматически
В частности потому использования для сходных целей - от надежды на голый DNS уже отказались:
DNS Google больше не поддерживает Round Robin DNS

Вот здесь про первопричину такого отказа подробно:
По городам и весям или как мы балансируем между уз...
Лишние элементы или как мы балансируем между серверами

Клиент должен уметь обзванивать оба адреса и выбирать доступный в данный момент. Иначе - никак вам не поможет Round Robin

Answer 1

[Максим Гришин]

Нет AS - только DNS-записями рулить. Если бы у вас был AS, можно было бы подтянуть BGP и маршруты на третьем уровне для такого резервирования. Правда, договориться с провайдерами придется.

Вообще, DNS-записями можно и балансировку поднять, особенно если на оба IP повесить DNS-серверы так, чтобы при запросе DNS на ip1 отдавался ip1, а при запросе на ip2 отдавался ip2, обе записи с временем жизни 15 минут (ну или сколько имеет смысл делать для автоматического протухания при падении канала), в этом случае пока оба канала работают, трафик на вашу службу, которую балансируете/резервируете, будет приходить где-то поровну с каждой стороны, если один ляжет, то после истечения времени жизни DNS-записей на клиентах трафик пойдет только через живой канал.

PS: вам придется каждое соединение на керио помечать, чтобы трафик уходил через тот же интерфейс, через который пришел запрос, иначе сервис доступен не будет.

Answer 2

[pfg21]

да, наилучший вариант. ДНС-сервер может резолвить имя в несколько ип-адресов. клиент должен может выбрать любой адрес.
к примеру

$ nslookup yandex.ru

Server: 10.0.**
Address: 10.0.**#53

Non-authoritative answer:
Name: yandex.ru
Address: 77.88.55.50
Name: yandex.ru
Address: 77.88.55.55
Name: yandex.ru
Address: 5.255.255.55
Name: yandex.ru
Address: 5.255.255.50
Name: yandex.ru
Address: 2a02:6b8:a::a

уточнить про эту услугу у своего днс-провайдера.
активно применяется в Round_robin_DNS

еще вариант
поставить снаружи на стабильном сервере прокси-балансир, который будет распределять нагрузку на два ваших ип-адреса.
у вас на обоих ип-адресах стоят идентичные сервисы.
в случае отключения одного соединения - его ип-исключать в балансире.
и скорость входящих сложится и стабильность будет.
минус - оплата внешнего сервиса и прокся становится "единой точкой отключения".

Comments

[abbaboka]

+ secondary DNS у другой фирмы. Например, у afraid
Тогда DNS сам обеспечивает надежность.
За счет кэширования.

Опять же - за счет этого же самого кэширования Round Robin не работает. И, к слову, он вообще изначально для другого предназначен - для балансировки. Но от него уже отказались:
DNS Google больше не поддерживает Round Robin DNS

Вот здесь про первопричину такого отказа подробно:
По городам и весям или как мы балансируем между уз...
Лишние элементы или как мы балансируем между серверами

Клиент должен уметь обзванивать оба адреса и выбирать доступный в данный момент. Иначе - никак вам не поможет Round Robin

[pfg21]

abbaboka, серьезные вещи описаны в статье.
но для небольшой фирмочки тяжеловатые.
требуется опытный админ, а он дорог. плюс куча оборудования.
т.е. решение для CDN как и написано в заголовке.
решать ТС, я предложил одно из достаточно простых и неплохо решений.

[abbaboka]

pfg21,

серьезные вещи описаны в статье.
но для небольшой фирмочки тяжеловатые.

Вы не поняли.
Статьи приведены в качестве примера, что на DNS в этом вопросе полагаться нельзя.

Только если вы уверены, что клиент будет корректно отрабатывать множественные IP, отдаваемые DNS и будет пытаться подключиться к ним по очереди. Если клиентское ПО будет это делать самостоятельно, а не полагаясь на DNS.

Round Robin в чистом виде нормально работает только в пределах локальной сети.

Через интернет - Round Robin ведет себя непредсказуемо.

Answer 3

[Владимир]

Если входящие соединения не к шлюзу непосредственно а к какимто сервисам в локальной сети (на шлюзе просто проброшены порты) то такие соединения можно ограничивать на выходе из шлюза в сторону локальной сети.