Seleção de MIP do ScreenOS para conexões de saída

Question

Dado um firewall do ScreenOS 6.3.0 com esta configuração:

unset flow reverse-route clear-text
set interface "ethernet0/0" zone "Trust" 
set interface ethernet0/0 ip 192.168.1.1/24 
set interface ethernet0/2 ip 10.0.0.1/24 
set interface ethernet0/2 mip 10.9.9.10 host 192.168.1.10 netmask 255.255.255.255 vr trust-vr
set interface ethernet0/2 mip 10.8.8.10 host 192.168.1.10 netmask 255.255.255.255 vr trust-vr
set route 0.0.0.0/0 interface ethernet0/2 gateway 10.0.0.254

... (e assumindo políticas apropriadas) existe uma maneira de controlar qual MIP o firewall seleciona para conexões de saída iniciadas por 192.168.1.10? (presumivelmente porque eu quero que o upstream 10.0.0.254 faça coisas diferentes com o pacote dependendo de qual é o seu IP de origem).

Atualização: OK, meu cenário é o seguinte: Eu tenho dois uplinks do ISP, cada um me dando um espaço IP diferente. Cada ISP irá rotear apenas o espaço IP que eles me designaram.

Portanto, para que o servidor seja acessado pelos dois ISPs, preciso de dois MIPs para o mesmo servidor, um em cada interface. O tráfego de entrada funcionará bem com a opção "texto não criptografado de rota inversa de fluxo não definido" em uso.

Mas para saída (acho que um servidor de e-mail envia uma mensagem) Eu preciso de uma maneira de selecionar um MIP apropriado dependendo de qual link de saída eu quero que o sistema use, e eu quero que este seja resiliant para que prefere cair de um dia para o outro, não tenho que virar manualmente algo para manter o e-mail fluindo.

Basicamente, estou tentando evitar ter que comprar um appliance de balanceador de link (ou dois, já que precisarei de um cluster).

Existe uma maneira de fazer isso?

    

Answer 1

Supondo que você quer ter controle ativo sobre ambos os links de saída ao mesmo tempo (ou seja, o sistema A usa IP A e sai do uplink A, o sistema B usa IP B e sai do uplink B) a resposta é não, você pode t. Você precisa de um balanceador de links.

Se você não se importa com o tráfego de saída do link, você pode configurar dois MIPs (um para cada link ISP) e definir rotas de rastreamento de IP e o firewall escolherá o "melhor" (ou seja, ele usará um e depois pare de usá-lo quando ele falhar). Você pode influenciar a seleção com as ordens e métricas de rotas.

Mas o importante é que, para ter controle, você precisa de um balanceador de links.

Se você tem suporte, ligue para o JTAC.