Mini Balance PCC com Failover automático

[arthursena_]

Seguinte pessoal depois desse maravilhoso balance escrito pelo amigo @AndrioPJ , estou com a seguinte dúvida/probleminha...

RB1100 - BALANCE
ether1 - entra link1
ether2 - entra link2
ether10 - 10.0.100.1/29 (Sai balanceado)
********************************************************
CCR1016 - AUNTENTICACAO DOS CLIENTES
ether10 - 10.0.100.2/29 (recebe link balanceado)


Até ai ta perfeito, os clientes já estão navegando balanceado. o problema é os clientes que usam DVR. para eles eram criado regras de redirecionamento de portas no NAT. mas isso era feito na RB(CCR1016) que autenticava. mas depois do balance os IPs validos dois dois links contratados estão na rb balance(RB1100).

agora a rb de autenticação dos clientes, no caso a CCR1016 não possui mais IP válido.

se alguem puder ajudar ganha + reputação facinho facinho do amigo aqui... heheh

[FabianoMartins2]

Seguinte pessoal depois desse maravilhoso balance escrito pelo amigo @AndrioPJ , estou com a seguinte dúvida/probleminha...

RB1100 - BALANCE
ether1 - entra link1
ether2 - entra link2
ether10 - 10.0.100.1/29 (Sai balanceado)
********************************************************
CCR1016 - AUNTENTICACAO DOS CLIENTES
ether10 - 10.0.100.2/29 (recebe link balanceado)


Até ai ta perfeito, os clientes já estão navegando balanceado. o problema é os clientes que usam DVR. para eles eram criado regras de redirecionamento de portas no NAT. mas isso era feito na RB(CCR1016) que autenticava. mas depois do balance os IPs validos dois dois links contratados estão na rb balance(RB1100).

agora a rb de autenticação dos clientes, no caso a CCR1016 não possui mais IP válido.

se alguem puder ajudar ganha + reputação facinho facinho do amigo aqui... heheh

Você vai precisar redirecionar do balance p/ o concentrador. Tipo. Balance-->Concentrador. E do concentrador apontar p/ o ip do cliente.

[FabianoMartins2]

Se o concentrador tiver NAT, esse passo é necessário sim.

Mas caso o NAT seja SOMENTE no seu backbone, o redirecionamento NAT deve ser feito direto do backbone para o cliente. Note que você precisa forçar esse cliente a sair por um determinado LINK, porquê se a cada hora o Load Balance jogar seu cliente por um LINK, nem DDNS adianta.

@Arthur Bernandes, tranquilo meu amigo? Agora entendi o porque aqui não deu certo direcionar direto do backbone p/ o cliente. Aqui não tenho NAT no concentrador., por isso, o cliente precisa sair sempre pelo mesmo link.
Abraço.

[AndrioPJ]

amigo, no inicio do seu post você explica que no cenário o balance foi construído na própria RB que faz autenticação dos clientes.

gostaria de saber a regra de rota que vc utilizaria entre a rb balance e a RB que faz a autenticação. sendo cenário abaixo:

RB1100-AHX2 => balance
ether_1_LINK1: 192.168.2.2 gateway: 192.168.2.1
ether_2_LINK2: 192.168.3.2 gateway: 192.168.3.1

CCR1016-12G => autenticação
ether_10_SAIDA_CLIENTES: 172.25.0.0/22

att,

qual a faixa de IP entre a RB1100 e a CCR?

10.0.100.0/29

ok...

Vamos supor que a RB1100 esteja usando o IP 10.0.100.1
e a CCR esteja usando o IP 10.0.100.2

Vamos supor tambem que a faixa de IP dos seus clientes seja 192.168.1.0/24

Você vai fazer o seguinte...:
Vá até a RB 1100 (onde está o balance), em /ip route
E adicione uma regra apontando a faixa de IP dos clientes para a CCR.

Ficando mais ou menos assim:
/ip route
add distance=1 dst-address=192.168.1.0/24 gateway=10.0.100.2

Pronto, agora pode desativar o NAT na CCR

Testei o balance acima e funcionou perfeitamente. o unico prablema é que na contrack do firewall não conseguimos identificar quem esta saindo pelo LINK1 ou LINK2. talvez pelo fato de não ter usado a opção mark connection no mangle.

correto @AndrioPJ ???

Exato...
Da forma como descrevi o balance os clientes saem por ambos os links.

Exceto o trafego HTTPs e os IPs adicionados em loopback.
Esses, o Balance trata diferente.
Se o cliente sair pelo Link1, ele continuará saindo pelo Link1
Agora se sair pelo Link2, continuará saindo pelo Link2... até resetar o tempo.

[FabianoMartins2]

@AndrioPJ não seria a contrario, o ip da CCR no gateway e a faixa dos clientes em dst-address

Ficando assim:
/ip route
add distance=1 dst-address=192.168.1.0/24 gateway=10.0.100.2

[FabianoMartins2]

É verdade @Arthur Bernardes, concordo OSPF.

[arthursena_]

Foi exatamente o que eu fiz... levantei um OSPF e tudo ficou resolvido.

[arthursena_]

ok...

Vamos supor que a RB1100 esteja usando o IP 10.0.100.1
e a CCR esteja usando o IP 10.0.100.2

Vamos supor tambem que a faixa de IP dos seus clientes seja 192.168.1.0/24

Você vai fazer o seguinte...:
Vá até a RB 1100 (onde está o balance), em /ip route
E adicione uma regra apontando a faixa de IP dos clientes para a CCR.

Ficando mais ou menos assim:
/ip route
add distance=1 dst-address=10.0.100.2 gateway=192.168.1.0/24

Pronto, agora pode desativar o NAT na CCR


Exato...
Da forma como descrevi o balance os clientes saem por ambos os links.

Exceto o trafego HTTPs e os IPs adicionados em loopback.
Esses, o Balance trata diferente.
Se o cliente sair pelo Link1, ele continuará saindo pelo Link1
Agora se sair pelo Link2, continuará saindo pelo Link2... até resetar o tempo.

Obrigado @AndrioPJ tudo resolvido. abraço

[AndrioPJ]

Eu acho mais bonito, elegante e muito mais fácil subir roteamento dinâmico. Se sua rede cresce de forma considerável, roteamento estático torna-se desprezível.

Depende
Subir roteamento OSPF entre o balance o concentrador implica em aumento na tabela de rotas do balance, maior uso de memoria/processamento do balance.
Logo, eu prefiro criar apenas uma rota estatica entre o balance e o concentrador, do que ter 500 ou mais rotas (da rede) no balance.

E no concentrador para a rede, ai sim subir roteamento OSPF.

@AndrioPJ não seria a contrario, o ip da CCR no gateway e a faixa dos clientes em dst-address

Ficando assim:
/ip route
add distance=1 dst-address=192.168.1.0/24 gateway=10.0.100.2

Exato... na hora escrevi errado kkkkkkkkkkk.
Bem notado, vou corrigir la

[arthursena_]

/ip firewall address-listadd address=200.155.80.0-200.155.255.255 comment=BRADESCO disabled=yes list=loopbackadd address=200.220.186.0/24 comment=BRADESCO disabled=yes list=loopbackadd address=200.220.178.0/24 comment=BRADESCO disabled=yes list=loopbackadd address=200.155.86.0/24 comment="BRADESCO PJ" disabled=yes list=loopbackadd address=200.155.82.0/23 comment="BRADESCO PJ" disabled=yes list=loopback

@AndrioPJ um Erro de digitação ao add as regras de address-list do BRADESCO. ficaram todas com disabled=yes


Corrige ai que fica mais tranquilo pra galera.

att,

[AndrioPJ]

bom dia,
não estou conseguindo fazer o fail over, os links não ficam ativos nos gateways falsos, oque posso estar fazendo errado?Anexo 57489

Acessa cada uma dessas regras e coloca o "scope" com valor 10

@AndrioPJ um Erro de digitação ao add as regras de address-list do BRADESCO. ficaram todas com disabled=yes


Corrige ai que fica mais tranquilo pra galera.

att,

Opa, valeu, vou corrigir.

[paulosjbv]

Boa tarde estou testando em uma rb 750 e esta funcionando perfeito, a unica duvida é que quando crio uma bridge entre a ether4 e a ether5 as regras do mangle ficam com erro(vermelhas). O porque isso acontece?

[arthursena_]

Boa tarde estou testando em uma rb 750 e esta funcionando perfeito, a unica duvida é que quando crio uma bridge entre a ether4 e a ether5 as regras do mangle ficam com erro(vermelhas). O porque isso acontece?

Amigo, quais portas você definiu para o LINK 1 e LINK 2 e qual porta vc definiu de saída para clientes?

[paulosjbv]

link1 ether2= adsl 8 mb
link2 ether3= adsl 10mb
ether4= rede local
ether5= livre
Quando crio uma bridge entre a ether4 e 5 as regras do mangle ficam vermelhas(com erro) quando desativo a bridge fica normal.
O que pode ser?

[arthursena_]

link1 ether2= adsl 8 mb
link2 ether3= adsl 10mb
ether4= rede local
ether5= livre
Quando crio uma bridge entre a ether4 e 5 as regras do mangle ficam vermelhas(com erro) quando desativo a bridge fica normal.
O que pode ser?

Se você optou por usar bridge no lugar de uma interface só para a saída, vc precisa setar esta bridge no lugar da ether4 nas regras de mangle.

veja isso!

[FabianoMartins2]

Se você optou por usar bridge no lugar de uma interface só para a saída, vc precisa setar esta bridge no lugar da ether4 nas regras de mangle.

veja isso!

Isso mesmo, e também precisa setar a bridge em IP>Address, no ip de saida p/ comunicação c/ o concentrador.

[arthursena_]

Isso mesmo, e também precisa setar a bridge em IP>Address, no ip de saida p/ comunicação c/ o concentrador.

Boa @FabianoMartins2 obrigado pela ressalva!

[FabianoMartins2]

Ok @arthursena_ abraço

[Guilherme46664]

[QUOTE=AndrioPJ;743843]Acessa cada uma dessas regras e coloca o "scope" com valor 10


Opa obrigado era isso mesmo. show de bola

[Juniin]

Andrio, segui seu tutorial e fiz o balanceamento e ficou muito bom, sem problema com sites, jogos etc
Mas nao sei como acessar externamente - fora da rede - meu servidor, nem mesmo o proprio balanceamento eu consigo...
Alguma coisa muda? preciso algum regra especifico?
meus modens estao em bridge com o loadbalance discando...

Parabens, muito bom seu post e bem explicado.

Ps. Tirei o nat do mikrotik servidor, tambem com a ajuda desse post...

Mais uma vez, obrigado

Consegui. O erro foi na configuraçao do ddns, havia colocado a interface errada no script...

Valeu