Разноска юзеров по серверам

[dd2r]

Помогите решить задачу. Есть Catalyst 3750, на нем крутится InterVlan Routing для юзерских вланов, которые directly conncted к нему.
Сети 192,168,0,0/16 и 172,16,0,0/16.

Есть FreeBSD сервер, который шейпит (ipfw) и NAT-ят (pf.nat) юзеров.
PC_router1 10.101.100.254

маршруты:
172.16 10.101.100.1
192.168.0/16 10.101.100.1

маршрут на Catalyst-е

ip route 0.0.0.0 0.0.0.0 10.101.100.254

Все работает, все прекрасно.

Теперь хочется перенести юзеров из 172,16,0,0/16 на другую маршину. Аналогично настроеную.

PC_router2 10.101.101.2
маршруты:
172.16 10.101.100.1

Добовляем в 3750 маршруты:

ip route 0.0.0.0 0.0.0.0 10.101.100.254
ip route 192.168.0.0 255.255.0.0 10.101.100.254
ip route 172.16.0.0 255.255.0.0 10.101.101.2

Трафик из 192.168 и 172.16 всеравно льется на PC_router1

Меняю снова маршруты на 3750

ip route 192.168.0.0 255.255.0.0 10.101.100.254
ip route 172.16.0.0 255.255.0.0 10.101.101.2

Трафик не попадает на PC_router1 и PC_router2

Делаю 2 дефаулт роута:

ip route 0.0.0.0 0.0.0.0 10.101.100.254
ip route 0.0.0.0 0.0.0.0 10.101.101.2

Все великолепно! Трафик попадает на PC_router-ы, все натится. Но у юзеров страницы открываются через одну.

Помогите решить проблему. Как правильно разнести траф по сервакам

[flamaster]

1. PBR - немножко сложная конфигурация будет.
2. VRF - супер рекомендую в данном случий.

[root]

Делаю 2 дефаулт роута:

Но у юзеров страницы открываются через одну.

ну ессно через одну, т.к. default gateway 2 штуки, вот один пакет улетает на один default , второй пакет на второй default

PBR тебе поможет

Policy Based Routing на Cisco (Source routing)

Policy routing - это более гибкий механизм маршрутизации пакетов, чем
адресная маршрутизация (destination routing). Его главная особенность
состоит в том, что перед маршрутизацией все пакеты проходят через
маршрутную карту (route map), которая определяет, какие пакеты
маршрутизировать и какой роутер будет следующим. Вы можете включить
policy routing если хотите, чтобы некоторые пакеты были направлены по
пути, отличному от очевидно самого короткого пути (the obvious
shortest path), то есть пути взятого из таблицы маршрутизации.

Применение данного метода самые разные, но более распространенный когда необходимо смаршрутизировать два канала от двух разных провайдеров.
Пример настройки:

Код: Выделить всё

conf t
sdm prefer routing
reload

создать standart access-list (например номер 10) где описать подсети выделенные провайдером1

Код: Выделить всё

ip access-list standard 10
permit ХХ.ХХ.241.0 0.0.0.63

Код: Выделить всё

создать standart access-list (например номер 11) где описать подсети выделенные провайдером2
ip access-list standard 11
permit УУ.УУ.18.0 0.0.0.63

создаем маршрутную карту:

Код: Выделить всё

route-map TEST permit 10
macth ip address 10
set ip next-hop XX.XX.XX.1

Код: Выделить всё

route-map TEST permit 20
macth ip address 11
set ip next-hop УУ.УУ.УУ.1

в режиме конфигурирования заходим в интерфейс (int vlan Х) смотрящий "вниз"

Код: Выделить всё

ip policy route-map TEST

Командой debug ip policy вы можете включить режим, который поможет вам
определить, что делает policy routing - попадают ли пакеты под
соответствующие правила и информацию о маршрутизации пакета
Предостережение. Внимательно отнеситесь к включению этого режима, так
как он может дать на выходе очень много информации, что неблагоприятно
отразится на работе вашего маршрутизатора. Используйте этот режим при
низком трафике через маршрутизатор, или укажите список доступа,
который будет ловить интересующие вас пакеты.

[flamaster]

еще осторожно с этим

When configuring match criteria in a route map, follow these guidelines:
–Do not match ACLs that permit packets destined for a local address. PBR would forward these packets, which could cause ping or Telnet failure or route protocol flapping.
–Do not match ACLs with deny ACEs. Packets that match a deny ACE are sent to the CPU, which could cause high CPU utilization.

в противном случий на все 100% загрузка проца будет!

[root]

ну и я добавлю, забыл уточнить
команда

Код: Выделить всё

sdm prefer routing

сократит размер памяти выделяемой под MAC-адреса
если у тя твоя циска видит их очень много (более 2000 шт.), то загрузка CPU у девайса может резко возрасти
но без выполнения этой команды PBR работать не будет

текущий sdm можно посмотреть командой

Код: Выделить всё

show sdm prefer

The current template is "desktop default" template.
The selected template optimizes the resources in
the switch to support this level of features for
8 routed interfaces and 1024 VLANs.

number of unicast mac addresses: 6K
number of IPv4 IGMP groups + multicast routes: 1K
number of IPv4 unicast routes: 8K
number of directly-connected IPv4 hosts: 6K
number of indirect IPv4 routes: 2K
number of IPv4 policy based routing aces: 0
number of IPv4/MAC qos aces: 512
number of IPv4/MAC security aces: 1K

[dd2r]

С PBR вроде понятно. Настрораживает конечно что все будет через CPU идти, а не по асикам. Буду пробовать.

P.S VRF - что за зверь? Как он мне может помочь?
http://en.wikipedia.org/wiki/VRF

[root]

VRF - что за зверь?

этот "зверь" помогает держать несколько таблиц маршрутизации внутри одного девайса
с его помощью трафик, приходящий через интерфейс "А" маршрутизатора, может маршрутизироваться (роутиться) совсем иначе чем трафик, который приходит через интерфейс "Б" этого же маршрутизатора
полистай вот это: Configuring VRF Lite

[dd2r]

Спасибо.
Получилось все с помощью PBR

[root]

Спасибо

пжалста

а почему ты просто не переместишь IP-интерфейсы каталиста прям на сервера ?
если по сути каталист все равно все толкает на сервера.
из-за локального трафика между подсетями ?

[dd2r]

а почему ты просто не переместишь IP-интерфейсы каталиста прям на сервера ?
если по сути каталист все равно все толкает на сервера.
из-за локального трафика между подсетями ?

Да, именно из за трафика между подсетками