Internetia ma rozległą sieć ethernetową na terenie całego miasta podzieloną na podsieci o różnych zakresach adresów i gałęzie spięte zarządzalnymi przełącznikami wymagającymi autoryzacji przez DHCP i MAC. Budynki połączene są ze sobą światłowodami a klienci teoretycznie mogą łączyć się między sobą z prędkością do 100Mbit.
Mam 3 punkty w mieście połączone siecią VPN. Dwa z nich znajdują się w tej samej podsieci w różnych jej gałęziach, a trzeci w innej podsieci. VPN G2G zbudowany jest na routerach RV042 v1 (1.3.12.19-tm) i RV082 v1 (2.0.2.01-tm). Do sieci VPN wchodzi jeszcze kilka innych punktów znajdujących się jednak poza siecią Internetii. Zmierzona szybkość transferu pliku pomiędzy RV042 i RV082 w tej samej podsieci wynosi nieco ponad 20Mbit.
Niedawno Internetia wprowadziła autoryzację DHCP i MAC na przełącznikach spinających gałęzie sieci. Teraz kilka razy dziennie przełaczniki blokują ruch do momentu odnowienia adresu IP przez DHCP. Adresy odnawiane są automatycznie co 20 minut, więc powstają stosunkowo krótkie, ale denerwujące przerwy w łączności. Przypuszczam, że jest to spowodowane zmianami w ustawieniach przełączników i ich restartem.
Routery RV0xx posiadają wbudowaną funkcję wykrywania braku połączenia, ale nie jest ona połączona z automatycznym odnowieniem adresu IP na porcie WAN. Pozwala ona jedynie na wygenerowanie wpisu w logu, lub wyłączenie portu WAN do czasu powrotu łączności. W efekcie router potrafi przekierować połączenia przez drugi port WAN, ale nie stara się naprawić połączenia. W tej samej sytuacji Digitus DN-11005 będący klonem SMC Barricade natychmiast wykrywa utratę pingu do bramy i stara się odnowić adres IP przez DHCP.
Rozważam więc różne scenariusze poprawiające bieżącą sytuację:
1. Postawić router potrafiący wykrywać i naprawiać połączenie przed RV042. Wymagałoby to podłączenia RV042 za NAT utrudniając istotnie tworzenie tuneli IPSec VPN.
2. Przydzielić RV042 stały adres IP i równolegle do niego postawić inny router wykrywający zanik połączenia i odnawiający adres IP. Oba urządzenia muszą mieć ten sam adres MAC na porcie WAN, więc zastosowanie przełącznika sieciowego powoduje zrywanie połączeń w RV042. Stosowanie 10Mbit huba mija się z celem, gdyż powoduje ogromną ilość błędów i retransmisji praktycznie zmniejszających transfer do około 0,1 Mbit. Idealnym łącznikiem byłby hub posiadający funkcję buforowania i obsługujący tryb duplex, lub przełącznik sieciowy przesyłający wszystko w trybie broadcast. Nie posiadam huba 100Mbit więc nie przetestowałem pełnej funkcjonalności tego rozwiązania.
3. Znaleźć lepsze urządzenie niż RV042. To dość trudne zadanie, gdyż wymagania są dość spore. Już sama wydajność szyfrowania IPSec VPN przekraczająca 20Mbit wymaga wyspecjalizowanego procesora bezpieczeństwa. Jedna z lokalizacji posiada też dwa łącza WAN, więc funkcja dzielenia ruchu przez dwa łącza jest bardzo mile widziana. Na dzień dzisiejszy wystarczający jest limit 8 tuneli IPSec VPN.
4. Zbudować programowy router na zwykłym komputerze. Niestety nie znam dokładnych wymagań sprzętowych wymaganych do szyfrowania tuneli IPSec VPN. Urządzenia RV0xx najlepiej spisują się z szyfrowaniem 3DES. Zastosowanie tego samego sposobu w połączeniu z procesorem x86 mija się z celem. Trzeba by więc zmienić szyfrowanie na AES. Jeżeli wystarczyłby PIII ok 1GHz to można by taką opcję rozważać. Nie mam jednak doświadczenia z tworzeniem routera na platformie x86.
Nie mam innych pomysłów. Pozostaje mi czekać na komentarze.
Przykro mi to stwierdzić, ale nowsza wersja firmware do RV042 v1 nie posiada żadnych znaczących ulepszeń, za to zawiera nowe wady. Konkretnie Cisco wmusiło w stare firmware zarządzanie przez HTTPS. Praktyka wykazała, że bezpieczniej jest używać wersji opracowanej jeszcze przez Linksysa, gdyż w wersji 2 niektóre funkcje działają mniej pewnie niż w starej. Przykładowo problematyczna była praca z portem WAN ustawionym na PPPoE.
Zanim zacznę rozważać zakup miniaturowych płyt głównych o architekturze x86 z pewnością przetestuję takie rozwiązanie na klasycznym komputerze pełnej wielkości. To że płyta wygląda na nowoczesną nie gwarantuje spodziewanych osiągów. RV042 jest teoretycznie w stanie uzyskać przepustowość 45Mbit w IPSec. Nie mam pojęcia jakiego procesora należy użyć, aby odtworzyć te osiągi na platformie x86.
Połączony z 24 październik 2012 09:34:43:
Postanowiłem w pierwszej kolejności zbadać pomysł z dwoma urządzeniami z tym samym adresem MAC. Kupiłem więc huba przełączającego 10/100, a w międzyczasie dowiedziałem się, że część zarządzalnych przełączników sieciowych posiada funkcję duplikacji ruchu na inny port przeznaczoną dla analizatorów sieciowych. Na razie będę trzymał się huba, gdyż w przypadku przełącznika sytuacja jest bardziej skomplikowana.
Podłączyłem równolegle do RV082 ruter Digitus DN-11005 będący klonem którejś wersji SMC Barricade. Urządzenie to szybko wykrywa zanik połączenia i usiłuje odnowić adres IP. Wszystko byłoby fajnie gdyby nie problem z szybkością połączeń i ich zrywaniem. Przypuszczam, że firewall Digitusa odpowiada na połączenia tworzone przez RV082. W efekcie następuje zakłócenie komunikacji.
Nieco nowsze urządzenie Ovislink Airlive IP-1000R, będące kolejnym klonem SMC Barricade, spisuje się już dużo lepiej w kwestii nieodpowiadania na inicjowane przez RV082 połączenia. Wykrywa też zaniki połączenia z bramą i odnawia adres IP. Ale.... No właśnie, przed odnowieniem adresu IP przez DHCP zwalnia bieżący adres. W rezultacie, przy silnie obciążonym łączu, kiedy serwer bramy dostawcy przestaje odpowiadać na pingi, IP-1000R zwalnia dzierżawę adresu IP cofając chwilowo autoryzację na przełączniku dostawcy i powodując zanik łączności.
Wniosek: Rozwiązanie jest funkcjonalne pod warunkiem rezygnacji z torrentów, lub znalezienia lepszego urządzenia niż IP-1000R.
Edytowany przez Sfor dnia 24-10-2012 09:34
· Łącznie użytkowników: 24,115 · Najnowszy użytkownik: Ja
Czat
Musisz się zalogować, aby opublikować wiadomość.
Maniek91PL
06-11-2024 22:37
dzięki !
maxikaaz
29-10-2024 14:27
@Maniek91PL - Administration=> Admin Access, i tam masz "Allow Wireless Access" do zaznaczenia
Maniek91PL
26-10-2024 22:07
siemka! ktoś przypomni co się ustawiało jeśli nie mogę wejść od strony wifi do tomato? od lan działa
overflow2
04-10-2024 17:34
Kupowałem Asusy n10u albo n12d1 ale nie widzę ich, chyba już nie produkują, Chodzi o coś nowego i taniego. Transfery niewielkie.
maxikaaz
04-10-2024 09:38
@overflow2 patrząc po dostępności funkcji w nowych kompilacjach, to chyba nawet WRT54G/GL jeszcze ma OpenVPN, albo jakiś odpowiednik... zależy, na jakie transfery liczysz.
overflow2
30-09-2024 20:53
Jaki aktualnie najtańszy router do tomato do openvpn?
maxikaaz
27-07-2024 15:07
@servee - na początek router do rozebrania i obejrzenia, ciężko wróżyć tak tylko po objawach
maxikaaz
27-07-2024 14:55
@servee - cały kontroler nie pada tak sobie z powodu "zbiegu okoliczności", więc prawdopodobnie gdzieś przepięcie.
servee
25-07-2024 13:33
@maxikaaz: działało, aż pewnego pięknego dnia przestało działać. W tym dniu była też burza, ale to raczej zbieg okoliczności.
maxikaaz
25-07-2024 11:38
@servee - o ile problem jest w obrębie samych wyjść (dławiki, warystory), to naprawialne, ale jeśli w samym SoC - to nienaprawialne ze względu na koszta. A co było przyczyną?
' target='_blank'>Link
