Настроил на этой неделе тестовый стенд на HRSP протоколе.
Основная идея организовать отказоустойчивость центрального маршрутизатора, который выступает в роли VPN сервера для связи удалённых филиалов с ЦОД, и держит прочую лабуду типа доступа к сети Интернет по 80ому и 443ому и другим портам.
Топология решения, поднимал на свободных "Сисках" ибо нужно было обкатать. см.рисунок.
Есть
Branch роутер, выступает в роли маршрутизатора в филиале. Есть два VPN туннеля (Tunnel1 и Tunnel2) до центрального офиса предположительно через разных провайдеров, туннели можно делать любые, я брал, что попроще, обычный GRE, в реале у меня DMVPN (GRE over IPSEC).
В центре два роутера
Active и
Passive с разными IP адресам, соответсвенно в каждый приходит по туннелю с филиала, внутри туннелей протокол EIGRP или OSPF кому, что больше нравится, соответственно
Tunnel1 является основным по цене.
Смысл HRPS в том, что создаётся виртуальный IP для двух роутеров, HRSP выбирает активный по заданным весам, и начинают обмениваться "Хёртбитами" и если один роутер "упал", второй становится активным, и начинает транслировать их общий IP. После активным становится туннель
Tunnel2. Ещё с помощью HRPS реализовал механизм мониторинга канала провайдера на активном роутере, если канал провайдера активного роутера падает, то нам нужно чтобы исходящие пакеты транслировались на пассивный, но этого не происходит т.к активный работает.
HRSP позволяет мониторить состояния каналов и в случае падения канала уменьшать "вес" роутера на заданную величину, так чтобы он изменил своё состояние на пассивный, а пассивный на активный.
Всё настраивается очень просто, привожу в пример листинги цисок:
На интерфейсах обоих центральный роутеров, в моём случае, которые смотрят в LAN прописываем следующее:
interface Vlan1
ip address 192.168.0.252 255.255.255.0 - свой собственный IP роутера
standby version 2 - включаем HRPS
standby 1 ip 192.168.0.254 - задаём общий виртуальный IP, где "1" - номер группы, их может быть несколько
standby 1 priority 101 - Задаем приоритет маршрутизатора, по умолчанию 100, в данном случае активный -101, а пассивный 50.
standby 1 preempt - preempt позволяет маршрутизатору с более высоким приоритетом перехватывать роль active маршрутизатора
standby 1 authentication Cisco - можно включить аутентификацию между группами
standby 1 name HSRP_NAT - имя группы
standby 1 track FastEthernet0/1 80 - отслеживание интерфейса провайдера, в случае падения приоритет маршрутизатора уменьшается на 80 и он становится пассивным, ну и обратно.
В общем всё работает очень просто и быстро, и вы создадите отказоустойчивое звено корневых маршрутизаторов. Добавлю что HRSP работает только Active/Passive, если хотите балансировку то есть GLBP, настраивается примерно также.
Ниже фото тестового стенда:
Сверху "свитч" в LAN, под ним Branch маршрутизатор, и два центральных в кластере.
Могут быть хитрости с работой NAT, по этому вопросу всё есть
тут!!.
