Newsgroup: it.comp.reti.ip-admin
Titolo: Bridge particolare

Se creo un bridge mettendo in collegamento un tun0 ed una eth0, dove
eth0 dispone di un IP pubblico e tun0 ha solo un ip privato /30 su ambo
i lati, riesco a raggiungere gli apparati al lato opposto del tunnel
da ambedue le location, senza dover nattare, giusto?
In pratica:
            /-- 10.11.12.1 -- tun0 -- 10.11.12.2 \ tun0
1.1.1.1/24
 ---------------- internet -------------- 
1.1.1.2/24
su ambo i lati ho un pool di ip pubblici (il medesimo su ambo i lati),
un solo lato fa bgp e li annuncia (linea hdsl da 2mb), l'altro lato ha
una normale default route verso una seconda linea hdsl (2mb)
devo fare in modo che se un ip non è presente nella rete con bgp (dove
ovviamente arriverà il traffico esterno grazie agli annunci), esso
venga girato sul tunnel, in maniera trasparente, senza nat.

 da ambedue le location, senza dover nattare, giusto?
AFAIK, le interfacce che metti in un bridge non possono avere IP (o
comunque lo perdono nel momento in cui le metti nel bridge). Oppure non ho
capito cosa vuoi fare.
-- 
Cio' che si vede, e'.

 capito cosa vuoi fare.
Devo fare un casino.
Devo spostare alcune macchine dal posto A al posto B, una alla volta,
senza alcuna riconfigurazione. (è ormai la 3 volta che mi fan fare
spostamenti del genere, ed ogni volta è diverso vacca miseria, mai
una volta che me lo fan fare uguale, ed ogni volta nascono problemi)
La rete è composta così:
router 1 + firewall 1 (sede A)
router 2 + firewall 2 (sede B)
entrambe condividono gli stessi ip pubblici.
devo fare in modo che il server connesso in sede B, possa essere
spostato in sede A in maniera trasparente. (ovvero: un tecnico
stacca il cavo, lo porta di la, e riattacca)
Esso deve essere raggiungibile da internet tramite la sede A, e deve
poter raggiungere gli altri server facenti parte della stessa
subnet tramite il tunnel tra le due sedi.
In maniera analogica, visto che tutto il traffico entrerà in sede A
grazie al BGP, eventuali server non presenti dovranno essere
raggiungibili tramite il tunnel.

 subnet tramite il tunnel tra le due sedi.
Quindi tiri in piedi un tunnel con openvpn o analogo, metti in bridge l'eth0
di ciascun router con la tun0 del tunnel creando la br0, configuri a livello
3 la br0 al posto della eth0 e sei a posto.
-- 
Flavio Visentin
Ubuntu in Zulu significa "Non so usare Debian". (cit. CtRiX)

 raggiungibili tramite il tunnel.
Se il tunnel e' bridged, funziona e non serve BGP.


 Se il tunnel e' bridged, funziona e non serve BGP.
E' quel che voglio fare.
va da se che lo devo fare sul default gateway mettendo
in bridge la nic che si affaccia ai server, giusto?
Non dovrebbe servire nemmeno assegnare un IP al bridge,
a L3 dovrebbe essere trasparente, ovvero se l'ip del
default gw è già nella sede nuova, ci si arriva ugualmente.

 3 la br0 al posto della eth0 e sei a posto.
Non è così semplice, purtroppo.
Io ho 4 apparati, due router e due firewall.
Ciascun firewall è il default gateway per i server.
Supponiamo che la eth0 dei firewall sia quella che si affaccia
alla lan dei server.
creo un tunnel (Può andare bene gre? Si fa prima....), lo metto
in bridge con la eth0 su ambo i lati e mi assicuro che a L3 ci
sia, da qualche parte, l'ip del default gw. Non dovrebbe importare
avere l'ip del default GW sullo stesso lato del server e configurato
sul br0.
In soldoni: br0 può restare non configurato su uno dei due lati,
l'importante è che almeno uno dei due abbia assegnato l'ip del
default gw (o dei default gw nel caso di subnet più piccole, ne
ho 4)
A livello BGP, a 'sto punto mi conviene non toccare niente, altrimenti
dovrei abbattere una sessione, perdendo la possibilità di uscire con
gli ip pubblici e dovrei nattare (di conseguenza, riconfigurare il
firewall della sede B). se sto buono, non devo fare nulla se non il
tunnel.

 default gw è già nella sede nuova, ci si arriva ugualmente.
Se ho capito bene, devi mettere in bridge le eth che si affacciano sulle LAN
A e B, e l'interfaccia tap che ti viene creata dalla VPN (sia in A che in
B). Quindi sia in A che in B avrai un bridge contenente (ad esempio) eth0 e
tap0.
A quel punto il sistema A + VPN + B diventa un'unica grande LAN.


 tunnel.
Mi correggo.
Configuro il tunnel tra firewall sede A e router sede B 
(e non sul firewall), tolgo il firewall sede B, tolgo il 
BGP e resto con la punto-punto che mi ha assegnato telecom
in moda da restare online con il router ed avere visibilità
della sede A.

 sul br0.
Perche' non assegnare a br0 lo stesso IP che aveva eth0?


 A quel punto il sistema A + VPN + B diventa un'unica grande LAN.
Proprio così.

 Perche' non assegnare a br0 lo stesso IP che aveva eth0?
Perchè l'ip che è settato sarà in sede A, non più in sede B

 Ciascun firewall è il default gateway per i server.
Cambia sega.
Assegni all'interfaccia bridge l'IP che avevi sull'eth0 e continui a
fare routing tra la br0 e l'eth1.
Un brouter...
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/

 Un brouter...
LOL.
Il mio è un vbrutter, ci sono deve vlan, ci vuole anche la "v"
(se però metto in bridge tutte le vlan, dovrei riuscire a riunificarle
in un singolo dominio di broadcast, e mantenere connettività tra le
sedi, giusto? Se si, quando ho terminato, mi basta rimuovere il bridge
per avere giù i server suddivisi in vlan)

 fare routing tra la br0 e l'eth1.
Stando ad un test preliminare, sembra funzionare tutto.
Ho messo in piedi una vpn, tap0, su ambo i lati.
creato il bridge br0
ho unito tap0 con eth1 su ambo i lati.
Così facendo, non funziona una cippa.
Ho assegnato un IP su ambo i lati con maschera
pari a tutta la rete (ovvero una /24) in modo da
avere una route completa in IGP.
Su sede A ho bloccato l'importazione dei prefissi
della sede B, altrimenti il BGP ha la precedenza
sulle route locali (non ho capito come si fa a cambiare
la metrica con vyatta, ho fatto prima a bloccarne l'import).
Gli annunci vengono fatti correttamente, ma sono per ora
bloccati da una prefix list. (però vedo che le rotte
sarebbe annunciate, se non ci fosse il filtro)
Se dal router di sede A (quello con BGP) pingo uno
degli IP presenti in sede B, il traffico passa nella VPN
e non via BGP (tant'è che vedo un singolo hop, ovvero il
firewall di sede A, dove c'è il bridge)
Se da sede B pingo l'ip assegnato al bridge sul firewall di
sede A, ci arrivo correttamente.
In teoria se apro gli annunci dalla sede A, il traffico
dovrebbe venir inoltrato sulla sede B.
Devo solo verificare cosa succede collegando una macchina
in sede A, in modo da verificare che il routing non avvenga
tramite il tunnel ma direttamente sulla nic.
Detto questo, manca qualche passaggio o sembra filare?

 Detto questo, manca qualche passaggio o sembra filare?
Controllando ora, lato A (ovvero la nuova sede) vedo il traffico
di broadcast arp e persino vrrp proveniente da uno dei due firewall
della vecchia sede.
Presumo sia tutto ok quindi.