ESR Маршрутизация

[AndreevAE87]

Здравствуйте, можете подсказать, как на ESR настроить маршрутизацию, если я правильно понял, то multiwan мне не подходит.
ESR-1000, прошивка 1.0.7 build 191
есть 3 провайдера
Провайдер 1 - группа "общие"
Провайдер 2 - группа "учредители"
Провайдер 3 - группа "прочие"

Нужно следующее, что в обычном режиме работы, каждая группа пользователей ходила через своего провайдера, но в случае ошибки срабатывал следующий алгоритм.
1. Упал провайдер 1
Произошло переключение на провайдера 3, если он не работает, то переключиться на провайдера 2 (Провайдер1 - > Провайдер3 -> Провайдер2)
2. Упал провайдер 2
Произошло переключение на провайдера 1, если он не работает, то переключиться на провайдера 3 (Провайдер2 - > Провайдер1 -> Провайдер3)
3. Упал провайдер 3
Ни чего не делать.

Так же еще нужно, чтобы происходило переключение DNAT, по умолчанию DNAT на провайдере1.


При восстановлении работы основного провайдера, вернуть маршрутизацию на место.

Прошу подсказать, такое возможно на esr1000, если да, то в какую сторону смотреть.

Заранее спасибо.

[leonid_zarkov]

Здравствуйте.
Скорее всего вам необходим Policy-based routing для решения данной задачи.
Посмотрите раздел 7.15.2 из руководства пользователя http://eltex.nsk.ru/upload/iblock/14c/e ... _1.0.7.pdf

[AndreevAE87]

Здравствуйте.
Скорее всего вам необходим Policy-based routing для решения данной задачи.
Посмотрите раздел 7.15.2 из руководства пользователя http://eltex.nsk.ru/upload/iblock/14c/e ... _1.0.7.pdf

Спасибо, вроде то что нужно, буду пробовать.

А вот по поводу DNAT?

[leonid_zarkov]

Чтобы DNAT отрабатывал для всех uplinks при переключении можно:
1) либо поместить все 3 аплинка в одну security зону и сконфигурировать необходимые правила, которые будут отрабатывать для всех пакетов из указаной зоны ( в примере все три аплинка в зоне untrusted ):

Код: Выделить всё

interface gigabitethernet 1/0/1
  security-zone untrusted
exit
interface gigabitethernet 1/0/2
  security-zone untrusted
exit

service nat destination
  pool SERVER_POOL_
    ip address 192.0.2.1
    ip port 80
  exit
  ruleset DNAT
    from zone untrusted
    rule 1
      match protocol tcp
      match destination-address NET_UPLINK1
      match destination-port SRV_HTTP_8080
      action destination-nat pool SERVER_POOL
      enable
    exit
    rule 2
      match protocol tcp
      match destination-address NET_UPLINK2
      match destination-port SRV_HTTP_8080
      action destination-nat pool SERVER_POOL
      enable
    exit
exit

2) Если зоны различны, то необходимо сконфигурировать правила для трафика приходящего из необходимых зон (интерфейсов, тоннелей):

Код: Выделить всё

nat destination
  ruleset ISP1
    from interface gigabitethernet 1/0/1
    rule 1
    ...
  exit
  ruleset ISP2
    from interface gigabitethernet 1/0/2
    rule 1
    ...
  exit
exit