[es] - Mreža sa 2 WAN-a

GORSHTAK
Ivan Matić

Član broj: 136182
Poruke: 285
*.adsl.verat.net.

+5 Profil

^{10.09.2010. u 21:43 - pre 165 meseci}

U vyatta-i mi je cilj da lokalnu mrežu raspodelim na 2 WAN-a, dakle jedna grupa servera i ostalih mašina da ide na net preko jednog WAN-a, a drugi deo preko drugog. Sada su dva rutera ali hoću to da svedem na jedan jer mi ova kombinacija pravi probleme. Nije mi cilj da serveri (istovremeno) koriste oba linka.

Interfejsi su:

WAN1 (eth1) - kablovski modem, dhcp sa javnim ip 80.70.54.6
WAN2 (eth2) - adsl ruter adresa 202.48.4.241/29, adresa vyatte treba da je 202.48.4.244
LAN (eth0) - 192.168.1.0/24

Adrese opsega 192.168.1.16 - 192.168.1.63 (LAN_1) treba da koriste WAN1, a ostatak (LAN_2) WAN2

Samo mašine iz LAN_1 imaju internet (WAN1), port forwarding takođe radi, jedino još nisam testirao port forwarding na LAN_2

Jel izvodljivo to što tražim, šta je sve potrebno da ovo proradi? Load balansing (koliko sam shvatio ovo služi da jedna mašina istovremeno koristi dva neta), static routes ili nešto drugo?

Evo vyattinog konfig fajla, nije još sve definisano do kraja, nadam se da je konfiguracija razumljiva i onima koji nikad nisu videli takvo okruženje

Code:

interfaces {
      ethernet eth0 {
          address 192.168.1.254/24
          description LAN
          duplex auto
          hw-id 00:02:a5:7d:a6:19
          smp_affinity auto
          speed auto
      }
      ethernet eth1 {
          address dhcp
          description WAN1
          duplex auto
          hw-id 00:01:02:9c:4b:4a
          smp_affinity auto
          speed auto
      }
      ethernet eth2 {
          address 202.48.4.244/29
          description WAN2
          duplex auto
          hw-id 00:01:02:a0:cd:eb
          smp_affinity auto
          speed auto
      }
      ethernet eth3 {
          duplex auto
          hw-id 00:50:da:37:85:c2
          smp_affinity auto
          speed auto
      }
      loopback lo {
      }
  }
  service {
      https
      nat {
          rule 1 {
              outbound-interface eth2
              source {
                  address 192.168.1.64/26
              }
              type masquerade
          }
          rule 10 {
              outbound-interface eth1
              source {
                  address 192.168.1.16/28
              }
              type masquerade
          }
          rule 11 {
              destination {
                  port 80
              }
              inbound-interface eth1
              inside-address {
                  address 192.168.1.20
                  port 80
              }
              protocol tcp
              type destination
          }
          rule 12 {
              destination {
                  port 21
              }
              inbound-interface eth1
              inside-address {
                  address 192.168.1.20
                  port 21
              }
              protocol tcp
              type destination
          }
          rule 13 {
              destination {
                  port 25
              }
              inbound-interface eth1
              inside-address {
                  address 192.168.1.25
                  port 25
              }
              protocol tcp
              type destination
          }
          rule 14 {
              destination {
                  port 110
              }
              inbound-interface eth1
              inside-address {
                  address 192.168.1.25
                  port 110
              }
              protocol tcp
              type destination
          }
      }
  }
  system {
      host-name vyatta
      login {
          user vyatta {
              authentication {
                  encrypted-password $***********$6VA8sAWG51R71
              }
              level admin
          }
      }
      ntp-server 0.vyatta.pool.ntp.org
      package {
          ******
          }
      }
      syslog {
          *******
      }
      time-zone GMT
  }

Odgovor na temu

acatheking
Aleksandar Ristić
Beograd/Mirijevo

Član broj: 6769
Poruke: 1133
*.mirijevo.rs.

+28 Profil

Re: Mreža sa 2 WAN-a

^{10.09.2010. u 22:24 - pre 165 meseci}

Malo mi se ne podudara tvoj zadatak sa konfiguracijom koju si naveo. Mada, sa vyatt-om sam se igrao samo na faxu (nisam do tada ni znao da postoji), ali mislim da sam dobro prepoznao delove konfiguracije :)

Citat:

Adrese opsega 192.168.1.16 - 192.168.1.63 (LAN_1) treba da koriste WAN1, a ostatak (LAN_2) WAN2, Samo mašine iz LAN_1 imaju internet (WAN1),

Ovo mi nije bas jasno gore, da li ovde trebas da napravis maskaradu za 2 grupe adresa 192.168.1.1-192.168.1.15 i 192.168.1.64-192.168.1.255 da izlaze na net preko WAN2, tj da iz ovoga izuzmes opseg 192.168.1.16-192.168.1.63? Ukoliko je odgovor tacan, potrebno je da malo kombinujes podmreze, jer ne mozes odjednom obuhvatiti ovaj opseg koji treba da ide na WAN2.

Kako se to tehnicki izvodi na vyatti, zaista sam zaboravio sintaksu, ali nadam se da sam bar malo pomogao.

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

Odgovor na temu

GORSHTAK
Ivan Matić

Član broj: 136182
Poruke: 285
*.adsl.verat.net.

+5 Profil

Re: Mreža sa 2 WAN-a

^{10.09.2010. u 23:01 - pre 165 meseci}

Pa naveo sam da konfig nije gotov do kraja. Pre bih rekao da ce biti više od 2 maskarade, ili možda grešim.
Posto sam već definisao 192.168.1.16/28 i 192.168.1.64/26, ostalo mi je da definišem:
192.168.1.32/27 - WAN1
192.168.1.128/25 - WAN2
192.168.1.0/28 - WAN2

E, drago mi je da je izvodljivo to što hoću, samo mi još treba neki hint, da skratim vreme provaljivanja. Ionako ti serveri ne smeju predugo da budu odsečeni zbog eksperimetisanja.

Odgovor na temu

acatheking
Aleksandar Ristić
Beograd/Mirijevo

Član broj: 6769
Poruke: 1133
*.mirijevo.rs.

+28 Profil

Re: Mreža sa 2 WAN-a

^{11.09.2010. u 09:20 - pre 165 meseci}

Trebace ti onoliko maskarada koliko imas podmreza. Koliko vidim u postojecoj kofiguraciji, vec imas dve maskarade. Rekoh da sam malo radio sa vyattom, mozda se nadje neko ko je koristi, pa ne mogu konkretno da ti pomognem.
Digni privremeno jos jednu vyattu na kojoj ces eksperimentisati. Ako nesto krene po zlu i da ne bi pravio velike prekide provaljivajuci sta si zahebao, samo vratis kablove u onu radnu. :)

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

Odgovor na temu

GORSHTAK
Ivan Matić

Član broj: 136182
Poruke: 285
*.adsl.verat.net.

+5 Profil

Re: Mreža sa 2 WAN-a

^{11.09.2010. u 09:55 - pre 165 meseci}

Na žalost nemam drugu mašinu sa kojom bih mogao da eksperimentišem, a čak ni jak komp pa da vežbam sa nekom virtualnom mašinom, ali srećom, uvek mogu da vratim poslednji dobar konf fajl :)

Inače, ako neko nije shvatio šta tražim, ne trazim da mi se objasni kako se to radi u vyatti, recite kako bi ste to uradili na ciscu (sa tim sam se barem igrao), juniperu ili na bilo kom drugom ruteru, a ja ću na osnovu toga da radim rekonstrkciju za vyattu.

Odgovor na temu

djk494

Član broj: 494
Poruke: 320
*.dynamic.isp.telekom.rs.

+39 Profil

Re: Mreža sa 2 WAN-a

^{11.09.2010. u 11:56 - pre 165 meseci}

Cao,

ako koristis jedan ruter, pre nego sto dodjes do nat-a moras nekako da namestis da ti paketi sa lan1 mreze idu na wan1 a sa lan2 idu na wan2, to nije nesto sto ruter radi po default-u, posto je ip rutiranje destination based, tj bas briga ruter sa kog racunara paket dolazi, on gleda kud treba da ga prosledi u odnosu na destinacionu adresu.
Resenje na Cisco-u mozes da vidis ovde:
http://www.cisco.com/en/US/tec...ech_note09186a008009481d.shtml

Ukratko, kreiras polisu koja na osnovu source adrese paketa odredjuje odlazni interface. Posle toga ide nat.

Odgovor na temu

djk494

Član broj: 494
Poruke: 320
*.dynamic.isp.telekom.rs.

+39 Profil

Re: Mreža sa 2 WAN-a

^{11.09.2010. u 12:52 - pre 165 meseci}

Izgleda da vyatta ne podrza PBR:

http://www.vyatta.org/contribute/enhancements-poll

Video sam da ljudi rade neki workaround sa load-balancing-om ali nisam se previse udubljivao, sve u svemu izgleda da ti ne ginu dva router-a ili neka druga platforma (proveri Mikrotik).

Odgovor na temu

acatheking
Aleksandar Ristić
Beograd/Mirijevo

Član broj: 6769
Poruke: 1133
*.mirijevo.rs.

+28 Profil

Re: Mreža sa 2 WAN-a

^{11.09.2010. u 13:34 - pre 165 meseci}

Citat:

GORSHTAK: Pa naveo sam da konfig nije gotov do kraja. Pre bih rekao da ce biti više od 2 maskarade, ili možda grešim.
Posto sam već definisao 192.168.1.16/28 i 192.168.1.64/26, ostalo mi je da definišem:
192.168.1.32/27 - WAN1
192.168.1.128/25 - WAN2
192.168.1.0/28 - WAN2

E, drago mi je da je izvodljivo to što hoću, samo mi još treba neki hint, da skratim vreme provaljivanja. Ionako ti serveri ne smeju predugo da budu odsečeni zbog eksperimetisanja.

Ne razumem sta nije jasno, ili se ocigledno ne razumemo :) Posto si rekao da te ne zanima load balancing, tj svaka mreza ide na odgovarajuci WAN, zasto ne napravis odgovarajuce maskarade na vyatti, na osnovu podmreza koje si odredio.

Edit:

Da, kao sto Djaki rece, treba i neki policy da se primeni, ne samo maskarada.

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

Odgovor na temu

GORSHTAK
Ivan Matić

Član broj: 136182
Poruke: 285
*.adsl.verat.net.

+5 Profil

Re: Mreža sa 2 WAN-a

^{12.09.2010. u 15:43 - pre 165 meseci}

Citat:

acatheking: Ne razumem sta nije jasno, ili se ocigledno ne razumemo :) Posto si rekao da te ne zanima load balancing, tj svaka mreza ide na odgovarajuci WAN, zasto ne napravis odgovarajuce maskarade na vyatti, na osnovu podmreza koje si odredio.

Izvoli, ali i dalje neće da radi.

Code:

nat {
          rule 1 {
              outbound-interface eth2
              protocol all
              source {
                  address 192.168.1.64/26
              }
              type masquerade
          }
          rule 2 {
              outbound-interface eth2
              protocol all
              source {
                  address 192.168.1.128/25
              }
              type masquerade
          }
          rule 3 {
              outbound-interface eth2
              protocol all
              source {
                  address 192.168.1.32/27
              }
              type masquerade
          }
          rule 4 {
              outbound-interface eth2
              source {
                  address 192.168.1.0/28
              }
              type masquerade
          }
          rule 10 {
              outbound-interface eth1
              protocol all
              source {
                  address 192.168.1.16/28
              }
              type masquerade
          }
          rule 11 {
              destination {
                  port 80
              }
              inbound-interface eth1
              inside-address {
                  address 192.168.1.20
                  port 80
              }
              protocol tcp
              type destination
          }
          rule 12 {
              destination {
                  port 21
              }
              inbound-interface eth1
              inside-address {
                  address 192.168.1.20
                  port 21
              }
              protocol tcp
              type destination
          }
          rule 13 {
              ***************
          }
      }

Ostatak namerno nisam definisao zato što mi nisu trebali u fazi testiranja

Citat:

acatheking:
Da, kao sto Djaki rece, treba i neki policy da se primeni, ne samo maskarada.

Dobro, lepo je to, ali šta?

@Djaki: hvala na konkretnom odgovoru, ali bez obzira na sve nastaviću sa pretragom, mada sporije, ostaviću ova 2 rutera da rade

PS: zamolio bih članove da ako nemaju ništa pametno da kažu da ne postuju

Odgovor na temu