Internetia ma rozległą sieć ethernetową na terenie całego miasta podzieloną na podsieci o różnych zakresach adresów i gałęzie spięte zarządzalnymi przełącznikami wymagającymi autoryzacji przez DHCP i MAC. Budynki połączene są ze sobą światłowodami a klienci teoretycznie mogą łączyć się między sobą z prędkością do 100Mbit.
Mam 3 punkty w mieście połączone siecią VPN. Dwa z nich znajdują się w tej samej podsieci w różnych jej gałęziach, a trzeci w innej podsieci. VPN G2G zbudowany jest na routerach RV042 v1 (1.3.12.19-tm) i RV082 v1 (2.0.2.01-tm). Do sieci VPN wchodzi jeszcze kilka innych punktów znajdujących się jednak poza siecią Internetii. Zmierzona szybkość transferu pliku pomiędzy RV042 i RV082 w tej samej podsieci wynosi nieco ponad 20Mbit.
Niedawno Internetia wprowadziła autoryzację DHCP i MAC na przełącznikach spinających gałęzie sieci. Teraz kilka razy dziennie przełaczniki blokują ruch do momentu odnowienia adresu IP przez DHCP. Adresy odnawiane są automatycznie co 20 minut, więc powstają stosunkowo krótkie, ale denerwujące przerwy w łączności. Przypuszczam, że jest to spowodowane zmianami w ustawieniach przełączników i ich restartem.
Routery RV0xx posiadają wbudowaną funkcję wykrywania braku połączenia, ale nie jest ona połączona z automatycznym odnowieniem adresu IP na porcie WAN. Pozwala ona jedynie na wygenerowanie wpisu w logu, lub wyłączenie portu WAN do czasu powrotu łączności. W efekcie router potrafi przekierować połączenia przez drugi port WAN, ale nie stara się naprawić połączenia. W tej samej sytuacji Digitus DN-11005 będący klonem SMC Barricade natychmiast wykrywa utratę pingu do bramy i stara się odnowić adres IP przez DHCP.
Rozważam więc różne scenariusze poprawiające bieżącą sytuację:
1. Postawić router potrafiący wykrywać i naprawiać połączenie przed RV042. Wymagałoby to podłączenia RV042 za NAT utrudniając istotnie tworzenie tuneli IPSec VPN.
2. Przydzielić RV042 stały adres IP i równolegle do niego postawić inny router wykrywający zanik połączenia i odnawiający adres IP. Oba urządzenia muszą mieć ten sam adres MAC na porcie WAN, więc zastosowanie przełącznika sieciowego powoduje zrywanie połączeń w RV042. Stosowanie 10Mbit huba mija się z celem, gdyż powoduje ogromną ilość błędów i retransmisji praktycznie zmniejszających transfer do około 0,1 Mbit. Idealnym łącznikiem byłby hub posiadający funkcję buforowania i obsługujący tryb duplex, lub przełącznik sieciowy przesyłający wszystko w trybie broadcast. Nie posiadam huba 100Mbit więc nie przetestowałem pełnej funkcjonalności tego rozwiązania.
3. Znaleźć lepsze urządzenie niż RV042. To dość trudne zadanie, gdyż wymagania są dość spore. Już sama wydajność szyfrowania IPSec VPN przekraczająca 20Mbit wymaga wyspecjalizowanego procesora bezpieczeństwa. Jedna z lokalizacji posiada też dwa łącza WAN, więc funkcja dzielenia ruchu przez dwa łącza jest bardzo mile widziana. Na dzień dzisiejszy wystarczający jest limit 8 tuneli IPSec VPN.
4. Zbudować programowy router na zwykłym komputerze. Niestety nie znam dokładnych wymagań sprzętowych wymaganych do szyfrowania tuneli IPSec VPN. Urządzenia RV0xx najlepiej spisują się z szyfrowaniem 3DES. Zastosowanie tego samego sposobu w połączeniu z procesorem x86 mija się z celem. Trzeba by więc zmienić szyfrowanie na AES. Jeżeli wystarczyłby PIII ok 1GHz to można by taką opcję rozważać. Nie mam jednak doświadczenia z tworzeniem routera na platformie x86.
Nie mam innych pomysłów. Pozostaje mi czekać na komentarze.
Przykro mi to stwierdzić, ale nowsza wersja firmware do RV042 v1 nie posiada żadnych znaczących ulepszeń, za to zawiera nowe wady. Konkretnie Cisco wmusiło w stare firmware zarządzanie przez HTTPS. Praktyka wykazała, że bezpieczniej jest używać wersji opracowanej jeszcze przez Linksysa, gdyż w wersji 2 niektóre funkcje działają mniej pewnie niż w starej. Przykładowo problematyczna była praca z portem WAN ustawionym na PPPoE.
Zanim zacznę rozważać zakup miniaturowych płyt głównych o architekturze x86 z pewnością przetestuję takie rozwiązanie na klasycznym komputerze pełnej wielkości. To że płyta wygląda na nowoczesną nie gwarantuje spodziewanych osiągów. RV042 jest teoretycznie w stanie uzyskać przepustowość 45Mbit w IPSec. Nie mam pojęcia jakiego procesora należy użyć, aby odtworzyć te osiągi na platformie x86.
Połączony z 24 październik 2012 09:34:43:
Postanowiłem w pierwszej kolejności zbadać pomysł z dwoma urządzeniami z tym samym adresem MAC. Kupiłem więc huba przełączającego 10/100, a w międzyczasie dowiedziałem się, że część zarządzalnych przełączników sieciowych posiada funkcję duplikacji ruchu na inny port przeznaczoną dla analizatorów sieciowych. Na razie będę trzymał się huba, gdyż w przypadku przełącznika sytuacja jest bardziej skomplikowana.
Podłączyłem równolegle do RV082 ruter Digitus DN-11005 będący klonem którejś wersji SMC Barricade. Urządzenie to szybko wykrywa zanik połączenia i usiłuje odnowić adres IP. Wszystko byłoby fajnie gdyby nie problem z szybkością połączeń i ich zrywaniem. Przypuszczam, że firewall Digitusa odpowiada na połączenia tworzone przez RV082. W efekcie następuje zakłócenie komunikacji.
Nieco nowsze urządzenie Ovislink Airlive IP-1000R, będące kolejnym klonem SMC Barricade, spisuje się już dużo lepiej w kwestii nieodpowiadania na inicjowane przez RV082 połączenia. Wykrywa też zaniki połączenia z bramą i odnawia adres IP. Ale.... No właśnie, przed odnowieniem adresu IP przez DHCP zwalnia bieżący adres. W rezultacie, przy silnie obciążonym łączu, kiedy serwer bramy dostawcy przestaje odpowiadać na pingi, IP-1000R zwalnia dzierżawę adresu IP cofając chwilowo autoryzację na przełączniku dostawcy i powodując zanik łączności.
Wniosek: Rozwiązanie jest funkcjonalne pod warunkiem rezygnacji z torrentów, lub znalezienia lepszego urządzenia niż IP-1000R.
Edytowany przez Sfor dnia 24-10-2012 09:34
· Łącznie użytkowników: 24,126 · Najnowszy użytkownik: goldi111
Czat
Musisz się zalogować, aby opublikować wiadomość.
servee
24-01-2025 18:18
Światłowód + mediakonwenter. Ekranowana skrętka nie jest wymagana, taką sytuację już zastałem. Zamierzam ją wymienić na zwykłą. Da to coś?
shibby
17-01-2025 07:45
a ta skrętka ekranowana o której piszesz to jakiś wkopany przewód do bramy/furtki/kamer y zewn? Jak tak to jego też przez zabezpieczenie podepnij.
shibby
17-01-2025 07:43
no to pora zabezpieczyć kable LAN zabezpieczeniami przeciwprzepięciow ymi - tanio nie będzie. Jak przychodzi ci internet? Skrętką czy światłem? Jak skrętką to zacząłbym od tego.
servee
12-01-2025 12:52
Ponownie padły mi wszystkie porty sieciowe w routerze - to już 3-ci w 6 m-cy. Podejrzany to ekranowana, nieuziemiona skrętka - 12mb. Czy jest to możliwe?
dawidt
21-12-2024 01:09
siema
Maniek91PL
06-11-2024 22:37
dzięki !
maxikaaz
29-10-2024 14:27
@Maniek91PL - Administration=> Admin Access, i tam masz "Allow Wireless Access" do zaznaczenia
Maniek91PL
26-10-2024 22:07
siemka! ktoś przypomni co się ustawiało jeśli nie mogę wejść od strony wifi do tomato? od lan działa
overflow2
04-10-2024 17:34
Kupowałem Asusy n10u albo n12d1 ale nie widzę ich, chyba już nie produkują, Chodzi o coś nowego i taniego. Transfery niewielkie.
maxikaaz
04-10-2024 09:38
@overflow2 patrząc po dostępności funkcji w nowych kompilacjach, to chyba nawet WRT54G/GL jeszcze ma OpenVPN, albo jakiś odpowiednik... zależy, na jakie transfery liczysz.
' target='_blank'>Link
