Pewny dostęp do sieci

Istnieje wiele sposobów zabezpieczenia się przed niespodziewanym brakiem dostępu do internet-u. Jak obserwuję od niedawna najpopularniejszym sposobem jest zaopatrzenie się w dodatkową usługę świadczoną przez operatora GSM. Orange, Play, Blueconnect

Przeciętny Kowalski mając łącze od lokalnego ISP, bądź potentata (gdzie awarie zdarzają się nieco rzadziej) coraz częściej wchodzi w posiadanie niewielkiego modemu USB z zamontowaną kartą SIM. Sieci często dodają usługę internet-u do abonamentu telefonicznego...

Chciałem się tutaj jednak skupić nad sytuacją gdzie grupa hostów (np. biuro) bądź wymajający użytkownik mają mieć dostęp do zasobów. Nieważne co się dzieje i gdzie coś "nawaliło", ma działać i koniec.

Opiszę sytuację z wykorzystaniem dwóch lokalnych operatorów ISP.

Przed zamówieniem, zainstalowaniem usług od któregokolwiek z usługodawców warto jest się zorientować czy nie są ze sobą powiązani w danej warstwie sieciowej. Pomocne będzie tutaj zapytanie każdego z operatorów o "tracerotue" powiedzmy do ONET-u łatwo wtedy będzie stwierdzić gdzie jest punkt wspólny obu operatorów.

Kolejnym aspektem jest zapytanie do jednego, bądź drugiego z operatorów o ewentualne powiązania L2, L3 - dzierżawy, transmisje, kolokacje...

Jeśli już stwierdzimy że obaj ISP nic sobie nie dzierżawią ani nie mają wspólnych punktów styku można przystąpić do instalacji usługi :)

Bezprzewodowo zazwyczaj spotyka się MikroTik-i ze zintegrowanymi antenami, dla tego też opiszę konfigurację z wykorzystaniem:

ISP1:(master)  - RouterBoard411+karta miniPCI - Antena BOX - Dowolny Switch SOHO

ISP2:(backup)  - RouterBoard711 - Antena BOX - Dowolny Switch SOHO

(Podkreślony przełącznik to to samo urządzenie)

Konfiguracja obu płyt jest taka sama. To znaczy są ustawione jako router z serwerem DHCP i DHCP-Client'em na interfejsie przychodzącym. Zresztą RB711 jest już konfigurowane "fabrycznie"...

Jedyna rzecz na jaką trzeba zwrócić uwagę to by od strony LAN‑u konfiguracja była taka sama na obu urządzeniach. To znaczy ten sam zakres przydzielania adresów, ten sam geteway, w przypadku wiązania IP z adresem MAC konfig również musi być identyczny.

Gdzie wiec są różnice ? Dwie drogi domyślne dla komputerów końcowych ? Nic z tego ;]

Zaczynamy zmiany, a właściwie zmianę. Jako że MT to specyficzny Linux na którym dają się uruchomić proste skrypty powstał następujący kod:

dla SIP1(master):

 
while (5>3) do={
  if ([/ping xx.xx.xx.xx count=5] = 0) do={
  if ([/ping 213.180.146.27 count=5] = 0) do={
     /interface bridge disable 0 
                                                                               } else={
     /interface bridge enable 0
                                                                                            }
                                                                              } else={
     /interface bridge enable 0
                                                                                           }
                              }

xx.xx.xx.xx - Adres IP urządzenia od SIP2(backup)

dla ISP2(backup)

while (5>3) do={
if ([/ping yy.yy.yy.yy count=5] = 0) do={
if ([/ping 213.180.146.27 count=5] = 0) do={
/interface bridge disable 0 
                                                                             } else={
/interface bridge enable 0
                                                                                          }
                                                                           } else={
/interface bridge disable 0
                                                                                        }
                                 }

yy.yy.yy.yy - Adres IP urządzenia od SIP1(master)

Drobne objaśnienie: Interfejs "bridge" w obu urządzeniach to wirtualizacja portu ethernet.

Pozwolę sobie objaśnić skrypt:

Przy uruchomieniu na urządzeniu "master" automatycznie włącza się wirtualny interfejs LAN‑u, DHCP-Server zaczyna na nim rozgłaszać adresy, hosty w sieci je pobierają i wszystko zaczyna działać... Natomiast na urządzeniu "backup" owy interfejs się wyłącza uniemożliwiając rozgłaszanie czegokolwiek.

Oba urządzenia pingują się wzajemnie i zarazem "onet" gdy master stwierdzi że nie ma kontaktu z onetem i jednocześnie z backupem wyłącza bridge i przestaje się rozgłaszać w LAN‑ie. W tym samym momencie backup traci ping do master-a a ONET dalej odpowiada (o ile to nie awaria globalna). gdy master nie odpowiada na backup-ie załącza się interfejs rozgłaszający adresy w LAN. Tym samym komputery zaczynają odwoływać się do tego samego geteway, ale już na innym urządzeniu które wypycha ruch dalej w świat.