VPN + Backup mit redundanter Hardware

[maho 10]

Hallo,

 

mich würde interessieren, ob jemand so oder ähnlich schon was am Laufen hat. Anbindung mehrerer Kunden per VPN und Backupverbindung. Falls VPN-Tunnel ausfällt, soll Backup per ISDN bzw. ein Paar Kanäle von PMUX automatisch zu diesem Kunden aufgebaut werden.

Sowohl beim Kunden als auch in der Zentrale (Rechenzentrum) gibt es einen Router für VPN-Tunnel und einen separaten Router für die Backupverbindung. Zwischen den VPN- und Backuprouter soll HSRP laufen, für redundantes Gateway.

Adressüberschneidungen beim Kunden sollen über die Router in der Zentrale gelöst werden.

 

Hat jemand eine Idee, wie man das am Besten konfiguriert? Anbei noch eine Skizze.

 

Für jeden Tip bin ich sehr dankbar!

 

Weil ich eine Skizze in einer vernünftigen Größe hier nicht uploaden konnte, hier ein Link zur Skizze:

Skizze

 

Maho

[tom12 10]

Hallo,

 

am besten du arbeitest mit EIGRP oder OSPF.

 

Bsp:

 

GRE/IPSEC Tunnel zwischen VPN Router Kunde und VPN Router Zentrale. Darüber läuft EIGRP/OSPF. GRE benötigst du um Multicasts fürs Routingprotokoll darüber laufen zu lassen.

Auf den ISDN Routern läuft kein Routingprotokoll.

 

Über EIGRP lernt nun der Router des Kunden das NEtz vom Server und der VPN Router in der Zentrale das Netz des Kunden.

 

Auf den ISDN Routern machst du die statischen Routen zu den jeweiligen Netzen mit einer höheren Administrativen Distance (z.B. 200) über die Dialer Interfaces (ISDN)

 

Wenn nun einer der beiden VPN Routern ausfällt, übernimmt der ISDN Router (HSRP) die Aufgabe des Default GAteways. Die ISDN Router haben die Routen zu den Netzen..

 

 

Problem:

 

Stell dir vor es fällt der VPN Router bei Kunde C aus. Kunde C schickt nun die Pakete über ISDN, ABER von der Zentrale aus werden die Pakete zum VPN Router geschickt, da dieser ja immer noch der aktive HSRP Router ist!

 

Also musst du auf den VPN Routern noch eine Route machen:

 

Bsp: in der Zentrale am VPN Router:

 

ip route 192.168.1.0 255.255.255.0 <phsische IP von ISDN Router> 150

 

Was passiert nun?

 

VPN Router in Zentrale verliert die Route zu Kunde C (weil Router von Kunde C ausgefallen ist). Kunde C schickt die Pakete über ISDN.

FW in Zentrale schickt die Pakete zu VPN Router (obwohl die VPN nicht mehr steht). VPN Router in Zentrale hat nun die Route über den ISDN Router, und schickt die Pakete zum ISDN Router (bzw. sendet der FW ein ICMP redirect).

 

...so irgendwie sollte es klappen..

 

Grüsse

Thomas