Переключение IPSEC маршрутов (поругайте скрипт)

[freeddos]

Мне нужно в интерфейсы ospf занести все туннели до внешних точек (по 2 на точку т.к. через двух провайдеров), и в настройку ospf закинуть две подсети на которых висят gre клиенты.
Так?

[xvo]

Туннели само собой.
Что касается целевых маршрутов (до локальных подсетей), ради которых собственно все и затевается, то либо так же добавлять локальные интерфейсы, но делать их passive. Либо включать redistribute connected и использовать фильтры (но мне этот второй вариант меньше нравится).

[freeddos]

Что значил локальные интерфейсы?
Gre туннели два штуки смотрят в сторону удаленной точки. На них повешен ip адрес локальной подсети.
Я добавляю все интерфейсы туннелей в ospf и локальные сети в настройки ospf.
Этого не достаточно?

[xvo]

В общем смотрите, допустим у вас два роутера связанные набором туннелей. Плюс на каждом какой-то набор своих «локальных» интерфейсов/подсетей.
Вот вы на каждом роутере в backbone area OSPF добавляете все туннели, и запускаете там BFD. А локальные подсети добавляете как passive (и в идеале под них на каждом роутере сделать свою area, но это не обязательно).

[freeddos]

Все я понял, это когда несколько локальных подсетей будут стучаться в туннели.
Но разве создав один дефолтный маршрут на подсеть которая за туннелями (в gateway указав два ip удаленной точки), это разве не даст понять всем локальным подсетям ломиться именно на этот маршрут?

[xvo]

Вы при использовании OSPF никаких маршрутов руками вообще не создаете.
Каждый роутер передаёт другим информацию о том, до каких сетей есть доступ через него.
И на основе этой информации полученной от всех соседей, каждый роутер сам создаёт нужные маршруты.

Или я не правильно понимаю вопрос?

[freeddos]

Тут видимо недопонимаю. Когда создавал настройку ospf по вышеуказанным настройкам (интерфейсы и сети).
То маршруты не появлялись динамические в таблице маршрутизации (возможно причина созданные в ручную маршруты).

И как в настройках ospf задавать шлюзы если все удаленные точки находится в пределах одной сети /30? Всю подсеть послать по одному шлюзу не получиться. Где задавать dst и source?

[xvo]

Если все удаленные точки находятся в одной удаленной сети /30, то вам в ospf только её на всех роутерах изначально и надо задавать: тогда оно подхватит все туннели сразу.

Созданные руками маршруты конечно будут мешать, но не на этапе добавления маршрутов из ospf в основную таблицу, а просто потому что у созданных руками distance будет меньше, чем у маршрутов ospf (у них distance=110).

Для начала надо убедиться, что у вас вообще ospf нормально работает, и роутеры видят соседей.
Как минимум в цепочке input firewall'а из тунелей на всех роутерах должен быть разрешен сам OSPF (protocol 89), а при включении BFD ещё UDP порты 3784,3785,4784.

А уже потом имеет смысл добавлять в OSPF и локальные подсети, маршруты до которых необходимо передать на другие роутеры.

[freeddos]

Тоесть на всех маршрутизаторах сети (и главном и удаленных) необходимо настроить ospf. Причем я как понимаю настройки будут одинаковые (кроме того что на главном будут добавлены все туннельные интерфейсы всех удаленных точек), а вот настройки networks будут одинаковые потому что будет добавлена сеть типо 10.10.10.0/30
И потом все друг другу передадут маршруты.

[xvo]

Для того чтобы OSPF в принципе заработал, то как-то так.
Но чтобы через него передавались "полезные" маршруты, туда же в networks на каждом маршрутизаторе надо потом добавить локальные подсети.
В итоге все маршрутизаторы будут знать, какой кратчайший маршрут до какой удаленной подсети.

Но там ещё много мелких нюансов нужно будет настроить:
- задать разные метрики (cost), чтобы одни туннели были приоритетнее других;
- включить BFD - для быстрого переключения маршрутов, при падении основного канала;
- создать на всех маршрутизаторах loop-back интерфейсы с каким-нибудь адресом, чтобы использовать этот адрес в качестве router-id;
- все локальные интерфейсы перевести в режим passive, чтобы роутеры почем зря не искали соседей там, где их быть не может (если конечно, там внутри сети нет других маршрутизаторов, куда тоже надо передавать маршруты);
- ну и дальше уже всякая специфика - может где-то надо передавать не только "свои" маршруты, но и какие-то "внешние" - заданные руками, например, или полученные из других протоколов, или может быть даже дефолтный маршрут.

В любом случае, в идеале посмотрите несколько роликов на youtube'е объясняющих принцип работы OSPF в целом (без привязки к микротику).