Site2Site VPN Failover von Aussenstelle zu HQ

[1x1speed 10]

Hallo,

 

ich habe folgendes Problem zu dem ich ein paar Gedankenanstöße benötige. In meinem HQ sind zwei Router A und B (Cisco 28er Serie) aktiv, welche jeweils über einen DSL mit fester IP ans Internet angebunden sind.

Die Remote Standorte (Cisco Router 1800er Serie) bauen die Verbindung momentan nur zu dem Router A im HQ per Site2Site VPN auf. Wenn nun der Connect des Routers A zum Internet unterbrochen ist können die Remote Standorte nicht mehr auf das LAN im HQ zugreifen.

 

Gibt es eine Möglichkeit, die Router an den Remote Standorten so zu konfigurieren, daß diese sobald die VPN zum Router A für länger als z.B. 30 Sec. unterbrochen wird versuchen mit dem Router B über den Backup ISP eine VPN aufzubauen?

 

Auf ein Aussenstellenrouter habe ich mittlerweile folgndes konfiguriert:

 

crypto isakmp key <MyK3y> address <Peer 1 Router A>
crypto isakmp key <MyK3y> address <Peer 2 Router B>
crypto isakmp keepalive 10 periodic
!
!
crypto ipsec transform-set myset esp-aes 256 esp-sha-hmac
!
crypto map mymap 10 ipsec-isakmp
set peer <Peer 1 Router A> default 
set peer <Peer 2 Router A>
set transform-set myset
match address 102

 

Sobald ich den DSL von Router A deaktiviere ist in der Aussenstelle kurz die VPN weg und danach baut der Router die Verbindung über Peer 2 zu Router B im HQ auf. Soweit so gut...

 

Beim Zuschalten der DSL Verbindung auf Router A schwenkt der Router in der Aussenstelle jedoch nicht wieder automatisch zurück. Wahrscheinlich erst nach der nächsten Zwangstrennung des ISP in der Aussenstelle.

 

Leider ist es auf dem Router der Aussenstelle nach der Aktivierung der Verbindung über Peer 2 aber nicht möglich im LAN des HQ eine IP zu erreichen, obwohl die Config des Routers B von den ACLs identisch dem Router A ist.

 

THX und Beste Grüße

[Otaku19 33]

evtl funktioniert ja dein retourrouting aus dem HQ nicht ?

[1x1speed 10]

Hallo Otaku19,

 

hatte tatsächlich was mit dem Retourrouting aus dem HQ zu tun. Nachdem ich auf den Router der Außenstelle den Backup DSL als default Peer konfiguriert habe und ca. 45 min vergangen sind konnte ich ins HQ LAN pingen und es funktionierte auch der Ping nach dem hin- und zurück schwenken auf den primären DSL.

 

Werd mir OSPF nch mal ansehen, da is garantiert noch was nicht richtig.

 

Nur zu dem automatischen zurückschwenken nach Wiederverfügbarkeit des primären DSL hab ich noch keine Idee.

 

Gruß

1x1speed

[Otaku19 33]

bei dem Problem bin ich eher schwach, ich weiß nicht wie IOS das bei 2 peers handlet...evtl ließe sich vielleicht mit dem EEM was basteln wenn das zurückschwenken auf den "primären" Peer nicht klappt