VPN routing

[KORN Andras]

Joreggelt,

van nekem egy szep VPN-em (openvpn, egyelore tap device-okkal, de lehet hogy
tun lesz belole). Van negy telephely, full mesh VPN-topologiaval. A linkek
megbizhatatlanok, sebesseguk egyenetlen.

Azt szeretnem, ha valamilyen dinamikus routing valosulna meg, tehat ha
kiesik a link mondjuk A es B kozott, akkor az ACB es ADB utvonalak kozul a
gyorsabbon haladna az A-B forgalom. (Olyan viszonylat is van, ahol a ketto
kozott elosztani is erdemes lenne a forgalmat ilyen esetben.)

Merre kezdjek nezelodni? Van ez a zebra, meg a nemhivatalos utoda, a quagga.
Van valami szakacskonyvszeru leiras arrol, hogyan kellene ezekkel mukodo
dinamikus routingot osszehozni? (Amikor utoljara probalkoztam a zebraval, el
tudtam inditani a routing-protokollokat, de latszolag nem csinaltak semmit.)
Van jobb/egyszerubb megoldas esetleg? Valami gated nevu program is remlik...

Masik kerdes: hogyan erdemes megoldani, hogy az egyes telephelyeken levo
szervereket (amiknek nyilvanos IP-je is van) a VPN-beli kliensek a VPN-en
keresztul erjek el? A kovetkezo lehetosegeket latom:

- NAT
- host route-ok tomege (raadasul szinten dinamikusan kene)
- split horizon DNS (elony vagy hatrany, hogy IP alapjan megszolitva a
szervert, megkeruli a forgalom a VPN-t? - leginkabb is-is...)

Guy

[Kelemen Tamás]

Én úgy emlékszem hogy az a baj a zebrával, hogy nem érzékeli ha leszakad
az egyik interface-e. (Vagy csak azt érzékeli, ha közvetlen leszakad az
egyik interface-e?) Mindegy

Szóval ha leszakad az interneted, akkor az általában nem a te oldaladon
szokott történni, hanem valahol a szolgáltatónál. Ezt mondjuk
érzékelheted valamilyen dinamikus route protokollal, de ehhez ezt
engedélyeznije kell a szolgáltatónak, amire nem tudom, hogy milyen
esélyed van.

Van egy olyan kernel patch, aminek olyan neve van, hogy Dead Gateway
Detection. Bár ezt még nem próbáltam, de azért érdemes utánanézni.

Az egyik ismerős úgy oldotta ezt meg, hogy MARK-olta a csomagokat az
alapján, hogy melyik gateway-t kell használni. Közben egy script
folyamatosan pingelte a szolgáltatókon keresztül a matav.hu-t. Ha nem
jött vissza a ping, akkor úgy vette, hogy az leszakadt és másik irányba
küldte a packeteket.

[KORN Andras]

Post by Kelemen Tamás
Én úgy emlékszem hogy az a baj a zebrával, hogy nem érzékeli ha leszakad
az egyik interface-e. (Vagy csak azt érzékeli, ha közvetlen leszakad az
egyik interface-e?) Mindegy
Szóval ha leszakad az interneted, akkor az általában nem a te oldaladon
szokott történni, hanem valahol a szolgáltatónál. Ezt mondjuk
érzékelheted valamilyen dinamikus route protokollal, de ehhez ezt
engedélyeznije kell a szolgáltatónak, amire nem tudom, hogy milyen
esélyed van.

En ugy gondolom, hogy erre nincs szukseg, mivel a zebra a VPN linkek folott
mukodne, tehat szamara egyetlen hop tavolsagra lenne a masik sajat router, a
VPN tuloldalan.

Post by Kelemen Tamás
Van egy olyan kernel patch, aminek olyan neve van, hogy Dead Gateway
Detection. Bár ezt még nem próbáltam, de azért érdemes utánanézni.
Az egyik ismerős úgy oldotta ezt meg, hogy MARK-olta a csomagokat az
alapján, hogy melyik gateway-t kell használni. Közben egy script
folyamatosan pingelte a szolgáltatókon keresztül a matav.hu-t. Ha nem
jött vissza a ping, akkor úgy vette, hogy az leszakadt és másik irányba
küldte a packeteket.

En nem teljesen ezt szeretnem, es foleg elegansabban szeretnem. :)

Guy

[Mezei Zoltan]

Sziasztok!

Post by Kelemen Tamás
Van egy olyan kernel patch, aminek olyan neve van, hogy Dead Gateway
Detection. Bár ezt még nem próbáltam, de azért érdemes utánanézni.

Ez valoszinuleg nem sokat segit, mivel:
- eleg regen leallt a fejlesztese (bar ez nem biztos)
- valoszinuleg nem tudja ertesiteni a VPN reteget akkor, ha a VPN alatti IP
halozat meghal

[PÁSZTOR György]

Hali!

Post by KORN Andras
Merre kezdjek nezelodni? Van ez a zebra, meg a nemhivatalos utoda, a quagga.
Van valami szakacskonyvszeru leiras arrol, hogyan kellene ezekkel mukodo
dinamikus routingot osszehozni? (Amikor utoljara probalkoztam a zebraval, el
tudtam inditani a routing-protokollokat, de latszolag nem csinaltak semmit.)
Van jobb/egyszerubb megoldas esetleg? Valami gated nevu program is remlik...

Nálunk élesben megy quagga. Tartja a kapcsolatot a helyi hálózat HSRPs
routereivel, és a "külvilágunk"at jelentő többi routerrel. (Cisco 3750 2db,
Cisco 6509, és Cisco 3550 van benne a mókában)
Itt épp rip-et beszél.
Tud még ospf-t, isis-t, az IS routing protokollok közül, illetve amelyiknek
van v6-os verziója, ott azt is. Arra gondolom nem számítasz, hogy a ciscok
proprietrary routing csunyaságait beszélje :-)

Rip esetén szépen szabályozható, hogy miket, hogyan hirdessen tovább, és
milyen hirdetéseket hogyan vegyen figyelembe, stb... (ospf-et még nem
konfigtam)

ospf használatához nem tudom mi kell, mert ugye ott LSA-k mennek a routerek
között, és félő, hogy az ilyen "virtuális" interfészeknél nem veszi észre az
LS változásokat, vagy egyáltalán a Link State fogalma sem nyer értelmet, így
nincs is mit advertise-olni.

rip-nél, protokoll szerint megy a heartbeat szerű üzenet a
topológiahirdetéssel. Hátránya, hogy sokkal lasabb a konvergenciája. De az
üzenetek sürelyességét és a timeoutokat lehet szabályozni.

Üdv:Gyur!
-- -------[ Free Software ISOs - http://www.fsn.hu/?f=download ]------- --
PÁSZTOR György e-mail: ***@fsn.hu
Free Software Network (FSN.HU) cell.: [phone]

[Babos Andras]

Hi!

ospf haszn=E1lat=E1hoz nem tudom mi kell, mert ugye ott LSA-k mennek a ro=

uterek

k=F6z=F6tt, =E9s f=E9l=F5, hogy az ilyen "virtu=E1lis" interf=E9szekn=E9l=

nem veszi =E9szre az

LS v=E1ltoz=E1sokat, vagy egy=E1ltal=E1n a Link State fogalma sem nyer =

=E9rtelmet, =EDgy

nincs is mit advertise-olni.

Hat igy VPN-nel keverve nem teljesen tudom, hogy mi adodik meg hozza a
temahoz, de...

Eppen most irtam diplomamunkat OSPF implementaciobol, ugyhogy tisztan
OSPF-ben azert most azt hiszem eligazodom. Tehat OSPF-ben leteznek
virtualis linkek, de csak a backbone (0.-as Area) felett lehetnek
definialva (es igen, elore definialni kell oket a konfig soran). Amint a
routing soran az elore konfiguralt par elerhetove valik, akkor az OSPF
felhuzza a virtualis interfeszt, es fordiva, ha a parja kikerul a routing
tablabol, akkor lehuzza az interfeszt. Ettol eltekintve egy virtualis
interfesz PointToPoint interfeszkent van kezelve, ugyanazokkal az LSA-kkal
rendelkezik.

Ha ebben a temaban kell valami, akkor most nyugodtan nyaggathattok engem,
azt hiszem.

Udv:
=09Babszem.