Clever Geek Handbook

1人の顧客、2つの施設、4つのプロバイダー、8つの接続

顧客の1人は、オフィスと倉庫の間の接続が永続的で安全であることを要求しました。 どうやってやったのか、何が起きて何が起きなかったのか。



条件



顧客には2つの部屋があります。 オフィスおよび倉庫。 オフィスと倉庫には、Microtikと2つのプロバイダーがあります。 倉庫の従業員は、安全なトンネルを通じてIPテレフォニーとオフィスのリソースを使用します。



挑戦する


片方のプロバイダー（いずれかの側）の障害によってOfficeユーザーがインターネットにアクセスできず、Warehouseのリモートユーザーが内部Officeリソースを持たないという事実につながらないような方法で通信を編成する必要があります。



解決策


まず、図を描いて、何をする必要があるかを判断してください。 メインチャネルはOfficeISP1およびSkladISP1プロバイダーを経由し、バックアップチャネルはOfficeISP2およびSkladISP2を経由すると仮定します。 写真では、太線で描かれています。



画像



構成を説明するパラメーターのリストを作成しましょう。



その後、このようなリストを自分用に作成し、置換を使用して、必要な構成を取得できます。



問題を2つに分けます


  1. 2つのプロバイダーを介したフェイルセーフインターネットアクセス。
  2. OfficeとWarehouse間の通信用のVPNチャネルの編成。


インターネット復元力


最初のタスク、最初に3分ごとに実行するスクリプトで解決しようとし、インターネット上のホスト（存続可能性が疑いのないもの）のpingを使用してチェックしました。 ただし、テスト中、このテクノロジーは常にクラッシュしました。 なぜ-それは明確ではありません。 それから、私はシンプルで、結局はより効果的なテクニックを使用しました。 スクリプトなしのバックアップ通信チャネルの編成です 。 さらに良くなりました。 メインチャネルにアクセスできない場合、バックアップチャネルへの移行はほぼ瞬時に発生します。



VPN接続の構成


VPN接続の組織では、IPSecプロトコルとIPIPトンネルを使用することが決定されました。 トンネル用のプレートを作りましょう。 接続のすべての可能な組み合わせを記述するために、各側は4つのIPIPトンネルを記述する必要があります。



オフィスルーター用



倉庫ルーター用





すべてのIPIPトンネルの両方のルーター用





OfficeとWarehouseの間のルーティングを整理するために、各トンネルのアドレスを作成します。





ルートを作成します。 ルートに沿った距離値の分布方法に注意してください。

オフィス用





倉庫用





メインプロバイダーを経由するルートに最高の優先順位を与え、最低-バックアップを経由します。 中間オプション（原則）は同じですが、この場合は、Officeからのメインプロバイダーのチャネルを優先します。 わかりやすくするために、トンネルIPの最後のオクテットを示しました。



画像



どうした


すべてのプロバイダーの通常の運用中に、メインチャネルを使用してIPSec VPN接続を編成します。 チャネルの1つに障害が発生すると、ユーザーとインターネットの通信用にルーティングが再構築され、対応するIPSec VPNチャネルが自動的に使用され始めます。 したがって、1つのプロバイダーが同時に切断されても、システムは両側で機能します。



うまくいかなかったもの


IPテレフォニープロバイダーとの電話接続を再構成しませんでした。 その結果、バックアップチャネルに切り替えると、電話交換の外部アドレスは自動的に再登録されませんが、これは近い将来に残されます。 電話交換自体によって制限が課せられます。



ヒントとコツ


2つのプロバイダーを同時に使用するには、NATルールを作成することを忘れないでください（OfficeとWarehouseで同じ）：



/ ip firewall nat

追加アクション=マスカレードチェーン= srcnat out-interface = bridge-isp1

追加アクション=マスカレードチェーン= srcnat out-interface = bridge-isp2



パケットがOfficeとWarehouseの間を移動するには、Officeのルールをテーブルの先頭に追加して、それらの間のNATをキャンセルします。



/ ip firewall nat

チェーンの追加= srcnat dst-address = 192.168.1.0 / 24 src-address = 192.168.2.0 / 24



倉庫の場合：



/ ip firewall nat

チェーンを追加= srcnat dst-address = 192.168.2.0 / 24 src-address = 192.168.1.0 / 24



また、外出先や自宅で作業するリモートデスクトップのユーザーが（アクティブなプロバイダーを使用して）常にオフィスリソースを使用できるように、DynDNSテクノロジーを使用できます。 これにより、バックアッププロバイダーに切り替えるときに、バックアップチャネルの外部IPアドレスを覚えておくことができなくなります。


More articles:


All Articles