A maneira mais simples de fazer roteamento de failover com o comutador principal Dell PowerConnect

1

Eu tenho um número de sites remotos se conectando de volta à matriz via Cisco ASA 5505s e Cisco PIX 506es. Na matriz, temos um antigo Cisco 3000 VPN Concentrator e um novo Cisco ASA 5510.

Os sites remotos usam o Easy VPN para se conectar (para que eles apareçam como sessões de acesso remoto, não Lan2Lan).

Estou no processo de migrar os dispositivos remotos para se conectar ao novo 5510. Eu posso ter vários servidores VPN na configuração de failover, então estou adicionando o VPN Concentrator lá. No entanto, no final da matriz, atualmente temos rotas estáticas configuradas para direcionar o tráfego de nossas sub-redes remotas para o 5510 ou o VPN Concentrator. Isso significa que, em uma situação de failover, a intervenção manual seria necessária para atualizar as rotas na matriz.

Temos Dell PowerConnect 6248s como comutadores centrais na matriz - todo o roteamento está configurado no momento. Eu gostaria de obter algum tipo de roteamento de failover no lugar, então se eu tirar o ASA 5510 por qualquer motivo, as conexões ainda funcionam. Os pontos de extremidade podem manipular esse failover, mas o roteamento é atualmente todo estático. Como posso conseguir isso?

    
por dunxd 14.09.2010 / 11:40

2 respostas

1

Se possível, vá para o roteamento dinâmico. Com a configuração física correta, o uso de rotas estáticas com diferentes métricas proporcionará um comportamento decente de failover.

Normalmente, um roteador não rastreia a acessibilidade para os próximos saltos, ele rastreia "interface para cima" ou "interface para baixo" e se pelo menos uma interface que é uma saída adequada para um próximo salto for "up", o próximo salto é considerado acessível. Nesse ponto, a única coisa que faria com que os pacotes não fossem enviados para um próximo salto, para cima ou para baixo, é que não há resolução ARP e as solicitações ARP são normalmente armazenadas em cache por um bom tempo. o padrão é, creio eu, 4 horas), você pode estar em uma longa espera.

Em "Cisco-land", o uso de rotas estáticas com diferentes distâncias (administrativas) é chamado de "estática flutuante" e é geralmente usado para failover de um link serial para outro link, já que o link serial é (geralmente) ponto a ponto (pode não ser o caso, se você estiver usando FR ou outros protocolos de link serial capazes de fornecer multi-ponto) e tem sinalização suficiente para poder sinalizar "outra extremidade é inacessível (ao contrário, digamos, a maioria" metro Ethernet ", onde geralmente há vários saltos de L2 entre os dois pontos finais de L3, portanto, uma quebra em algum lugar no caminho de transmissão geralmente não é visível como uma interface desativada).

Portanto, em suma, se você conseguir que seu 5510 seja conectado em uma porta de switch dedicada, com uma rede / 30, em um switch de núcleo único, o 5510 NÃO fará com que a porta de switch no switch de núcleo sinal como quando o 5510 está desligado (ou você está disposto a tomar o tempo de alguém para ter que modificar o roteamento ou desconectar o cabo), estática flutuante pode ser exatamente tudo que você precisa. Vale a pena investigar, mas eu provavelmente procuraria configurar o roteamento dinâmico, pelo menos para as rotas da VPN.

    
por 15.09.2010 / 02:11
0

Se os seus switches PowerConnect suportarem isso, eles deverão mostrar um número "métrico" nas tabelas de roteamento. Às vezes, isso também é chamado de "distância" ou "distância administrativa". Qualquer que seja o nome, este valor é um indicador para o roteador quão próxima ou direta é essa rota. Quanto maior o número, maior a rota.

Se você quiser configurar rotas de failover, precisará adicionar rotas para a sub-rede de destino que passa por um gateway diferente (no seu caso, o servidor VPN de "backup") com uma métrica mais alta. Essas rotas de backup serão usadas quando outras rotas com métricas inferiores não estiverem disponíveis (por exemplo, quando o gateway relevante não puder ser alcançado).

    
por 14.09.2010 / 19:03