Как пустить отказоустойчивый VPN поверх сложной сети?

Question

[Константин Франк]

Всем привет!

Нужны советы по реализации небольшой схемы. Соответственно сначала расскажу в чем проблема -


2 ЦОДа и 1 филиал. Требуется между компьютерами PC 3 и PC 1/2 (разные сети) создать IPSEC поверх всей рабочей сети. Все оборудование Cisco. K9 лицензии имеют только FW-1, FW-2, R-1, R-2.
Изначально предполагал на двух маршрутизаторах R-1 и R-2 поднять на каждом по 2 туннеля до FW-1 и FW-2. Создать на маршрутизаторах статические маршруты с метрикой (на R-1 приоритетней до ЦОД 1, на R-2 приоритетней до ЦОД 2). На R-1/2 поднять HSRP. А для того, чтобы трафик возвращался верно, буду использовать NAT (каждый туннель = свой адрес). Забыл нарисовать на схеме, что коммутаторы ЦОДов тоже соединены между собой, поэтому тут немного сложно по схеме хождения трафика.
Надеюсь понятно объяснил. Схема костыльная и временная, но нужно сделать отказоустройчивую. Просьба помочь советами.

Answer 1

[Родион Кудрявцев]

В сторону 2-head dmvpn надо смотреть вроде бы

Comments

[Константин Франк]

К сожалению, со стороны PC-1, PC-2 у меня только Cisco ASA с K9. Они вроде как DMVPN не поддерживают.

[Родион Кудрявцев]

Тогда от каждого роутера сети пс1 строите простой туннель с ipsec и делаете отказоустойчивость уже средствами OSPF или BGP, смотря какой протокол вы захотите поднять в этих туннелях

[Константин Франк]

Родион Кудрявцев, вопрос в том как использовать динамическую маршрутизацию. Где мне указать network правого компьютера? На обоих роутерах я же не могу прописать одинаковую сеть. А никакого больше устройства за роутерами нет.

[Родион Кудрявцев]

R-1 и R-2 со стороны лан должны быть завязаны по HSRP (это же циски?) или аналогами (VRRP и т.п. - таких протоколов несколько, у цисок есть свой)

[Родион Кудрявцев]

Общий смысл всех телодвижений такой - со стороны лан 2 физических роутера р1 и р2 представляют собой один отказоустойчивый логический роутер, а со стороны ван эти роутеры выступают как отдельные . И извне к ним строятся разные туннели, по которым бегает bgp. И получится - извне есть 2 пути добраться до вашей лан-сети.

Answer 2

[Валентин]

Если не надо балансировки (а тут без неё проще), не надо никаких одинаковых метрик, есть риск получить асимметрию (если конечно для вас это проблема). Сети на PC1 и PC2 лучше терминировать на роутерах с красным кружком. Статику не надо, надежнее GRE+OSPF (ну или любая другая динамика).

Comments

[Константин Франк]

Балансировка не нужна. Если учитывать, что будет HSRP в самом простом варианте, то трафик будет идти только на активный маршрутизатор. Соответственно каждый из маршрутизаторов будет иметь все маршруты статически и активными будут только 2 туннели (до ЦОД 1 и до ЦОД 2). Сети на PC1 и PC2 терминируются на стороннем сетевом сегменте, куда имеют доступ FW-1 и FW-2. И если что красные кружки - firewall-ы, а роутеров здесь только 2 (R-1 и R-2). Разве OSPF будет работать через IPSEC? Мультикастовый трафик же не пропустит. Или Вы имеете что-то другое ввиду?

[Strabbo]

Константин Франк,

надежнее GRE+OSPF

Разве OSPF будет работать через IPSEC? Мультикастовый трафик же не пропустит. Или Вы имеете что-то другое ввиду?

IPSEC строится поверх GRE, а там уже будет ходить всё.

[Константин Франк]

Strabbo, у меня GRE на ASA-х не заработает, поэтому и делаю только IPSEC. Правда уже прочитал, что OSPF все равно может заработать в unicast-режиме, но это не поможет, так как я на роутерах не смогу указать где именно конечная пользовательская сеть (оба имеют туда линк).

[Валентин]

Константин Франк, стройте gre с маршрутизаторов, не с АСА

Answer 3

[rPman]

У меня вопрос, а роутеры cisco не умеют bonding (это я про возможности linux)? когда два канала объединяются в один на основе какого-либо алгоритма, среди которых есть и резервирование и балансировка, т.е. поднять 2 vpn подключения (через разных провайдеров) и объединить их в один

Comments

[Станислав Бодро́в]

У меня вопрос, а роутеры cisco не умеют bonding (это я про возможности linux)?

Умеют. Бондинг у сетевиков называется агрегацией каналов или LACP.

[Константин Франк]

Агрегация работает, когда на двух концах одинаковые железки. По-другому не заработает. В моем случае нужно зарезервировать само оборудование.