Newsgroup: it.comp.reti.locali
Titolo: Aiutino sulle route

Ciao a tutti,
due uffici, connessi tramite ponte radio, vorrebbero utilizzare la 
connettività ADSL (che entrambi hanno) per ridondare il collegamento tra di 
loro, via tunnel VPN.
Precisando che attualmente usano indirizzamenti di rete diversi, come mi 
converrebbe impostare il tutto, sfruttando naturalmente il ponte radio come 
collegamento primario?
 
Grazie mille per i consigli?
 
Andrea 
 


 
non è proprio banale e soprattutto non riguarda solo un discorso di rotte.
 
Un modo pulito per farlo è utilizzare la funzione di backup vpn peer 
(NetASQ ad esempio l'ha introdotta dalla versione 9, altri vendor la 
implementano già da un po' ed altri non la implementano proprio). In 
questo caso ti troveresti a demandare la scelta dell'endpoint peer al 
firewall che termina le VPN (parlo di firewall perchè non mi risulta che 
i router abbiano questa funzione, ma potrei sbagliarmi).
 
Altrimenti devi giocare con le metriche, e tutto si complica.
Dovresti indicare, però, chi fa routing e dove. Perchè dalle 
informazioni che ci dai non è molto chiaro.
 

 che ci dai non è molto chiaro.
 
Ciao e grazie, innanzitutto.
E' vero, non è chiaro soprattutto perchè alla fin fine la mia era una 
richiesta di best practice, visto che non ho esperienza di ridondanza.
Ho relativa libertà su quali apparecchiature utilizzare ed, entro certi 
termini, anche sull'eventuale modifica delle classi IP relative alla LAN. 
Ora come ora, il ponte radio è collegato direttamente agli switch da ambo i 
lati, e ci sono due Zyxel USG200 che gestiscono la connettività WAN + un 
tunnel ipsec verso la sede remota, da attivarsi allorquando il ponte va giù, 
com'è ora a causa di un forte temporale occorso nei gg scorsi.
In sostanza, mi servirebbe qualche indicazione su come gestire 
l'instradamento verso la sede remota via ponte radio, la navigazione 
attraverso l'ADSL e, soprattutto, la ridondanza del collegamento alla sede 
remota. Non conosco i dispositivi Netasq e avrei una predilezione per 
pfsense, che però so che non gestisce la ridondanza dei tunnel ipsec.
 
Cioè: è fattibile? Di quali apparecchiature ho bisogno per attuare tutto 
ciò? Far passare anche il traffico del ponte radio attraverso un firewall 
potrebbe causare problemi di rallentamenti?
 
Se non mi sono spiegato, chiedi pure! Grazie ancora.
 
Andrea
 
 

 occorso nei gg scorsi.
 
Chiedo scusa ma credo che il problema principale sia, in realtà, il 
ponte radio: ovvero non è normale che vada giù quando c'è un forte 
temporale, non dovrebbe accadere (a meno che non sia un ponte con 
portante sopra i 10Ghz e poca potenza disponibile, ma ne dubito...).
 
Perché non ci descrivi il ponte radio, più che il routing? Che distanza 
copre? Con quali apparati ed a quale frequenza? Cifratura sul link 
fisico o VPN IPsec/OpenVPN per proteggere il link? Antenne usate? 
Potenza massima di ricetrasmissione?
IMHO, se fai funzionare bene il ponte radio non hai bisogno della 
ridondanza che passi su Internet (non è una cosa semplice, non vedo 
alternativa ad OSPF, ad esempio, anche se pfSense lo supporta) oltre ad 
avere un indubbio vantaggio dal punto di vista della banda inter-sede 
(IMHO, ti converrebbe far bene il ponte radio e, eventualmente, 
ridondare quello).
 
 
 
 
-- 
Fr3ddie
fr3...@fr3ddie.it
 
Home Page: 
http://www.fr3ddie.it
 
OpenPGP Public Key available on my website
 
Avere la coscienza pulita è indice di cattiva memoria

 potrebbe causare problemi di rallentamenti?
 
bhe chiaramente influisce, però fai routing puro senza filtraggio.
Basta dimensionare correttamente il firewall.
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 portante sopra i 10Ghz e poca potenza disponibile, ma ne dubito...).
 
bhe vabbè tutto si rompe. magari è andato solo l'alimentatore... 
Secondo me non è una brutta cosa ridondare in quel modo visto che le
adsl ci sono e magari per tener botta il tempo necessario per il
ripristino del link è sufficente... Se poi ci sono già gli apparati
giusti è una cosa che si fa a gratis.


 giù, com'è ora a causa di un forte temporale occorso nei gg scorsi.
quindi, visto che  dici che le due sedi hanno diverse reti presumo che 
l'us200 sia il router che permette la connettività fra le due reti....
 
in effetti hai già tutto quel che ti serve, l'sg200 dovrebbe avere i set 
necessari per attivare questa cosa.
 
io ho vecchi zywall e la cosa si gestisce nel bilanciamento delle wan, 
non ti so dire per l'usg200, comunque nel sito di Zyxel ci sono delle 
apn al proposito, dacci uno sguardo.
 
come è connesso il ponte, entra su una delle due wan dell'usg?
 
-- 
per far danni mi occorre la tua password di root

 come è connesso il ponte, entra su una delle due wan dell'usg?
 
Esatto, e nell'altra WAN entra l'ADSL, con una coppia di VPN attive verso 
l'altro usg, a scopo di ridondanza.
Siccome mi hanno detto che il ponte radio si occupa di effettuare una 
cifratura dei dati, mi chiedevo se non fosse conveniente predisporre una VPN 
per l'ADSL, e lasciare il traffico inalterato attraverso il ponte, ottenendo 
comunque una forma di ridondanza. E, in caso, che tipo di approccio tenere 
per le regole di firewalling, in ottica pfsense. Non interessa ridondare le 
due ADSL tra di loro (se non c'è per un po' connettività wan non è un 
dramma), ma Ponte con ADSL, così da far parlare le due strutture sempre e 
comunque, pur a prestazioni ridotte.
Non ho esperienza di Failover/Ridondanza, presumo si tratti di creare dei 
gruppi di gateway e assegnare delle priorità ai collegamenti. Quello che 
vorrei ottenere è che i pacchetti destinati al dialogo tra le due strutture 
transitino sempre attraverso il ponte, mentre la connettività Internet solo 
via ADSL. In caso di down prolungato del ponte, bisognerebbe che subentrasse 
la vpn via ADSL in modo trasparente.
 
Grazie ancora per i consigli.
 
Andrea 
 

 l'altro usg, a scopo di ridondanza.
 
non conosco pfsense, ma visto che lo vuoi utilizzare immagino che tu
lo conosca. ci sarà la possibilità di monitorare la wan per capire se
va giù o meno? Si esiste ho appena verificato, non sono entrato nei
dettagli ma mi pare di capire che si può fare.
fatto questo delle rotte specifiche faranno il cambio da ponte a vpn
in modo automatico.
Altrimenti devi mettere in piedi del routing dinamico.


 [OMISSIS]
 
Non ti offendere, rispondo direttamente a lui dato che ha portato altre 
informazioni. Tanto il mio pensiero si capisce bene ugualmente ^_^
 
 
 
-- 
Fr3ddie
fr3...@fr3ddie.it
 
Home Page: 
http://www.fr3ddie.it
 
OpenPGP Public Key available on my website
 
«Riflettere è considerevolmente laborioso;
ecco perché molta gente preferisce giudicare»
Ortega y Gasset

 parlare le due strutture sempre e comunque, pur a prestazioni ridotte.
 
Come ti hanno già detto, puoi fare tutto quanto contemporaneamente: 
ovvero sia ridondare la connessione ad Internet attraverso il ponte che 
ridondare il ponte attraverso la WAN. Con pfSense fai tutto ma ti devi 
armare di santa pazienza e studiare parecchio.
Come già detto, comunque, io mi preoccuperei di mettere a posto il ponte 
radio (inclusa la ridondanza degli apparati che, se ho capito bene, 
tengono su sia le WAN che il ponte radio); la probabilità che la WAN 
vada giù "lato provider" è davvero bassissima quindi, IMHO, è molto più 
utile rendere robusto il collegamento radio in modo da non dover 
ricorrere troppo spesso alla VPN WAN "di backup", dato che è un disagio...
 
A prescindere da cosa userai, sul ponte radio non mettere cifratura allo 
strato fisico (solo bridge con controllo accesso MAC address) ma fai 
solo una VPN (magari "pesante"), ne beneficerai *moltissimo* in SNR.
 
 
 
-- 
Fr3ddie
fr3...@fr3ddie.it
 
Home Page: 
http://www.fr3ddie.it
 
OpenPGP Public Key available on my website
 
Errare è umano, ma per fare veramente casino serve la password di r00t...

 devi mettere in piedi del routing dinamico.
 
Grazie ancora a tutti per l'interessamento. :-)
 
Allora, aggiornamento su come procede: confermata la richiesta di mettere un 
(e solo un) pfSense per ogni ufficio. Per ora, la cifratura effettuata dal 
ponte radio rimane in essere, anche perchè il segnale è ottimo. Quindi, ho 
bindato gli estremi del ponte ad una interfaccia del pfs e impostato il 
routing tra le due reti. Ho poi creato un tunnel con OpenVPN tra le medesime 
reti attraverso ADSL su un'altra interfaccia (con ipsec non funzia).
Sfruttando il policy based routing di pfs, ho impostato un gateway group che 
comprende l'interfaccia fisica collegata al Ponte e una fittizia bindata al 
collegamento OpenVPN. Tier 1 la prima, Tier 2 la seconda. Quando la prima 
crasha, la seconda subentra effettivamente in pochi istanti e viceversa.
Non ho affrontato ancora due questioni: la ridondanza del collegamento WAN 
delle due reti via Ponte (ma è poco rilevante, in fondo) e il protocollo 
OSPF, del quale ho proprio esperienza zero e che mi piacerebbe approfondire. 
Anzi, avete un bel link da offrirmi in merito? :-)
 
Per suggerimenti, insulti, offese e quant'altro, vi ascolto. ;-)
 
Andrea 
 

 crasha, la seconda subentra effettivamente in pochi istanti e viceversa.
 
con crasha cosa intendi? che va down?
In questo caso come la butti down? Se va giů semplicemente il link
radio ma l'interfaccia lan rimane su per per il firewall l'interfaccia
č su...
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo em@il non č da considerarsi pubblico,


 per il firewall l'interfaccia č su...
 
Beh, ho impostato un monitoraggio su un IP all'altro capo del ponte, che 
checka host down e/o packet loss e/o latency. Questo č quello che pfsense 
permette.
 
Ciao.
 
Andrea 
 

 permette.
 
ah ok!
