AS + 2 шлюза.

[amasis]

Доброго дня !
Подскажите как реализовать такую схему:

Есть своя AS. Есть основной роутер (freebsd) который выполняет роль маршрутизатора (quagga). Также на нем nat (pf) и сервер доступа ( ipfw, dummynet)
Добавилось новое покрытие сети.
Задача: bgp вынести на отдельную машину (freebsd) Добавить еще один сервер доступа (ipfw , dummynet).
Иными словами имеется два сервера, территориально разделены, имеется маршрутизатор с bgp ( quagga)
Как сделать чтобы quagga отдавала маршруты на два сервера , но сама выполняла только роль bgp маршрутизатора не являясь шлюзом для серверов ( что-бы абонентския траф не шел через комп с bgp) .

Спасибо

[root]

что-бы абонентския траф не шел через комп с bgp

что бы трафик совсем не ходил через сервер с BGP - никак
т.к. сервер с BGP анонсирует твои посети, а значит для входящего, в твою AS, трафика он в любом случае будет как next-hop

если исх. трафик нужно пускать мимо BGP сервера, то тут получится тока если у серверов доступа будут ипы из сети твоего (твоих) провайдера (провайдеров), к которым ты подключен по BGP, и на серверах доступа "насильно" сетить next-hop для пакетов на IP-адреса провов и не юзать default gataway на сервер c BGP.

Как сделать чтобы quagga отдавала маршруты на два сервера

не совсем понимаю зачем BGP маршруты нужны на серверах доступа. Там тоже quagga стоит ? Если "ДА", то зачем ? Если "Нет", то и отдать она ничего не сможет.
и если сервер BGP отдаст маршруты на сервера доступа (по BGP или OSPF или ещё какому протоколу динамической маршрутизации), то для этих маршрутов сервер c BGP опять же будет в кач-ве next-hop, а значит трафик пойдет на него.
Маршруты на то и нужны, что бы по ним трафик ходил

А в чем причина нажелания трафика через BGP сервер ? Много трафика ? Сервер "убитый" ?

З.Ы. хороших выходных

[amasis]

а если 2-ой сервак стоит на другом конце города - зачем гнать весь траф сначала на сервер с bgp - возможно ли выпускать абонентов сразу в инет но используя ip со своей автономки ?

[root]

возможно ли выпускать абонентов сразу в инет но используя ip со своей автономки ?

это конечно возможно только в одном случае, когда оператор, к которому ты будешь там подключен, все же будет роутить твой трафик
т.к. в нормальном варианте операторы фильтруют трафик внутри своей сети и выпускают "вверх", только известные им (свои) подсети, так же может поступать и оператор уровнем выше и если у твоего прова по БД RIPE о твоей AS и адресах ничего написано не будет вышестоящий пров так же может тупо отфильтровать твой трафик
но так же, выпустить м.б. ты их там и выпустишь, но входящий то трафик все равно через bgp сервер пойдет, т.к. подсеть анонсируется оттуда

минимизировать прогон трафика между 2мя точками получится например в такой схеме:

Код: Выделить всё

оператор 1[eBGP] <---> [eBGP]сервер bgp[iBGP] <---> [iBGP] сервер доступа 2 (удаленный )[eBGP] <---> [eBGP] оператор 2

т.е. тебе нужно будет порезать свою подсетку на две части и анонсировать её с двух точек двумя подсетями
таким образом входящий трафик будет так же приходить туда откуда он уходил
твои сервера будут обмениваться маршрутами по iBGP и таким образом ты на обоих точках можешь использовать обоих операторов, если конечно захочешь, или сделать этот канал как резервный, если будет падать один из операторов
моя идея понятна ?

на обоих точках один и тот же пров ? разные ?

[amasis]

идея понятна
пров один и тот же

[root]

пров один и тот же

и я так понимаю он один, кто анонсирует тебя по BGP мир, так ?

тогда это может упростить задачу, если пров конечно на это согласится
т.е. BGP будет стоять только в одном месте, а пров нарисует у себя два статик маршрута до порезанного на "две" (несколько частей) части блока твоих адресов
одну твою подсеть через ону точку, вторую через другую

получится что то типа:

shema_1.jpg

красные стрелки, это статические маршруты на оборудовании прова, до двух твоих подсетей из твоего блока адресов
зеленые стрелки это default gateway
синяя стрелка это BGP сессия
по итогу получится как раз то, что ты хотел в первом сообщении, т.е. с BGP сервера идет анонс твоей подсети и AS, но входящий трафик на этот сервер не попадает, а идет напрямую на сервера доступа, благодаря статик маршрутам
ну а с исходящим трафиком ты его просто бросаешь напрямую на прова и он его уже роутит куда надо

если бы я был на месте прова я бы наверно так не делал но никто не мешает тебе поговорить с ним, м.б. он и согласится на такую схему

но вот с подключением второго прова по BGP в такой схеме будет засада, хотя тоже можно извратиться, если он (второй пров) так же согласится на статик маршруты

[amasis]

спасибо за помощь , буду пробовать ....

[zaikini]

Есть еще вариант, если используется один провайдер, допустим у вас /24, с каждой точки анонсируете ему /25, провайдер у себя аггрегирует и отдает во внешний мир /24. При входящем трафике провайдер сразу будет направлять трафик куда "нужно". В этом случае статическая маршрутизация не нужна.

[root]

zaikini
я об этом уже писал выше
но в любом случае спсб за коммент

спасибо за помощь , буду пробовать ....

пжалста, удачи
просто помни простую вещь: куда смотрит маршрут, туда и прет трафик