Каталог Поиск 0 Сравнить 0 Закладки 0 Корзина Войти
Каталог
105082, Москва, ул. Фридриха Энгельса, 75с21, БЦ Бауманский ИТКОЛ
Пн - Пт: с 09-00 до 18-00 Сб: с 10-00 до 18-00 Вс: выходной
Страницы: 1
RSS
Возможен ли Dual WAN для этой конкретной настройки?, UniFi Network
 
Всем привет! У меня клиент, у которого мы купили USG Pro и коммутатор Unifi на 48 портов. В моём первоначальном техническом задании, которое я обсуждал и с Ubiquiti, и с дистрибьютором, я указал, что у меня есть большое здание, владельцы которого сдают часть в субаренду кинокомпании. У меня две линии: бизнес-интернет Spectrum 300/20 и оптоволокно ATT 100/100. Мне нужна была возможность разместить несколько точек доступа по всему зданию с разными SSID — один для основного арендатора, один для субарендатора и гостевой. Если клиент подключается к SSID "main", я хочу, чтобы трафик шел через Spectrum. Если к SSID "subtenant" — через ATT, а если "Guest" — то через одну из сетей, но с ограничением по скорости.

Но когда я настраивал оба WAN в USG, оказалось, что второй WAN можно сделать только как аварийный (failover) или для балансировки нагрузки — и меня удивило, что в Dashboard этого не видно так, как я ожидал. Потом, когда я поговорил с инженером у дистрибьютора, мне сказали, что такой дизайн, возможно, не реализуем с USG и коммутатором. Хотелось бы, чтобы кто-то помог разобраться.

Сейчас у меня в работе парочка роутеров Peplink, которые я собираюсь убрать, потому что мне казалось, что я смогу построить такую схему именно на них. Нужно ли моё оптоволокно 100 Мбит подключать напрямую в коммутатор и управлять портами и клиентами через VLAN? Сейчас, когда оборудование у меня на руках, всё кажется гораздо сложнее, чем когда я писал техзадание.

Спасибо!  
Эрик
 
@epmadsen

Всё зависит от того, что сейчас настроено. Каждое правило в LOAD_BALANCE, кроме самого последнего, служит для того, чтобы «исключить» соответствующий трафик из балансировки нагрузки (например, трафик, направленный на VPN или меж VLAN-трафик). Балансироваться должен только трафик, направленный в интернет. Последнее правило в LOAD_BALANCE может иметь разный номер в зависимости от того, настроены ли у вас гостевые сети, VPN и так далее — всё это динамично. Именно последнее правило фактически «балансирует» весь оставшийся трафик, который не был исключён предыдущими правилами.

Если у вас есть правило 3015, и оно идёт перед последним правилом, то в целом проблем быть не должно, но тут как раз может быть проблема — оно, скорее всего, перезаписывает одно из правил, которые система автоматически ставит для исключения определённого трафика из балансировки. Но если вы не видите проблем — значит, скорее всего, это правило у вас не срабатывает ежедневно. Посмотреть, что именно настроено, можно, удалив config.gateway.json и введя:

configure  
show firewall modify LOAD_BALANCE

И да, правила обрабатываются в порядке возрастания номера — сначала правило с меньшим номером.
 
@UBNT-jaffe

- Привет, Брендон. На прошлой неделе мы получили ответ от Tier 2: «Номер правила 3015 указан неверно. Когда настраиваешь Dual WAN, изменяемые правила в группе LOAD_BALANCE по умолчанию начинаются с 3001. Любые пользовательские правила, которые нужно выполнить в первую очередь, должны иметь номера ниже 3001». Мы можем это поправить, если нужно, хотя пока что наша конфигурация работает нормально. Насколько важно, чтобы номера правил были ниже 3001? Это влияет на порядок их выполнения и/или может ли это привести к потенциальным конфликтам в будущем? Это впервые, когда я об этом слышу, и хотел бы понять, насколько это критично. Спасибо! Эрик
 
Проблема возникает из-за двух разных действий modify. Одно относится к таблице 5, другое — к lb-group wan_failover. Чтобы запустить работу только таблицы 5, нужно выполнить:

delete firewall modify LOAD_BALANCE rule 3010 modify lb-group wan_failover

После этого должно получиться сделать commit. Команда "save" просто сохраняет конфигурацию в /config/config.boot, это можно считать «стартовой» конфигурацией USG, а "commit" сохраняет изменения в «рабочей» конфигурации USG. Но "save" не очень полезна, так как при старте USG (перезагрузка, обновление и т.д.) конфигурация всё равно перезаписывается контроллером. "Save" полезна только при внесении изменений до принятия устройства в управление.

rule 3010 {
   action modify
   modify {
       lb-group wan_failover
       table 5
   }
   protocol all
   source {
       address 10.10.10.0/24
   }
}
 
Вот что мы прописали, и ошибка всё равно появляется:  
admin@GatewayRouter:~$ configure  
[edit]
admin@GatewayRouter# set firewall modify LOAD_BALANCE rule 3010 modify table 5  
[edit]
admin@GatewayRouter# set firewall modify LOAD_BALANCE rule 3010 source address 10.10.10.0/24  
[edit]
admin@GatewayRouter# set firewall modify LOAD_BALANCE rule 3010 protocol all  
[edit]
admin@GatewayRouter# commit  
[ firewall modify LOAD_BALANCE ]
Ошибка в конфигурации firewall: Нельзя определить более одной модификации в узле «modify»  

Ещё вопрос — что на самом деле делает команда «save» в CLI? Мы понимаем, что при перезагрузке UG якобы теряются изменения после «commit», но мы заходили несколько раз, и конфигурация «уже существует».  

(файл show firewall modify LOAD_BALANCE приложен к ответу)
 
В режиме настройки, скорее всего, вам захочется выполнить команду «show firewall modify LOAD_BALANCE», чтобы посмотреть существующие там правила. Если вы уже применили правило 3000 и пытаетесь ввести его снова, то получите эту ошибку. Повторно настраивать его нужно только в случае, если USG был перезагружен, обновлён или перепрошит через контроллер.
 
Привет, @UBNT-jaffe

После успешной настройки сети 172.x.x.x, когда я попытался добавить сеть 10.x.x.x, команда вроде как принялась, но при попытке выполнить команду «commit» появилась ошибка, указанная ниже. Есть идеи? Спасибо!

---
admin@GatewayRouter# set firewall modify LOAD_BALANCE rule 3000 action modify  
admin@GatewayRouter# set firewall modify LOAD_BALANCE rule 3000 modify table 5  
admin@GatewayRouter# set firewall modify LOAD_BALANCE rule 3000 source address 172.16.100.0/24  
admin@GatewayRouter# set firewall modify LOAD_BALANCE rule 3000 protocol all  
admin@GatewayRouter# set firewall modify LOAD_BALANCE rule 3000 action modify  
admin@GatewayRouter# set firewall modify LOAD_BALANCE rule 3010 modify table 5  
admin@GatewayRouter# set firewall modify LOAD_BALANCE rule 3010 source address 10.10.10.0/24  
admin@GatewayRouter# set firewall modify LOAD_BALANCE rule 3010 protocol all  
admin@GatewayRouter# commit  

[ firewall modify LOAD_BALANCE ]
Ошибка конфигурации firewall: Нельзя определить более одной модификации под узлом «modify»
 
@kratormatix

Ты оставляешь для них разные номера правил, как и сделал, потому что нельзя добавить несколько подсетей в поле «source address» для одного правила. Оставить только static table 5 — нормально, это просто дополнительная таблица маршрутизации, которую можно создать и ссылаться на неё из нескольких правил, создавать другую таблицу с таким же маршрутом не нужно. То, что у тебя есть, выглядит правильно, можешь спокойно удалить:

set protocols static table 6 route 0.0.0.0/0 next-hop <wan2gateway_IP ADDRESS>

— это ни на что не повлияет из того, что ты уже настроил.
 
Какой ориентировочный срок появления доступа к GUI? В Cisco/Meraki это называют «flow preference», и реализовать это довольно просто. Было бы ЗДОРОВО настроить и управлять этим за считанные секунды, как на устройстве MX.
 
Привет, UBNT-jaffe!  
Я работаю с Эриком над этим развертыванием. Прочитал документ, на который ты ссылался, и в целом понимаю, что нужно сделать. Но у меня есть пара вопросов по синтаксису и правильной маркировке.  

У нас две сети, которые должны выйти через WAN2, а в примере показывают, как отправить одну сеть через WAN2. Там есть правило с номером 3000. Если я добавлю вторую сеть, которая тоже должна идти через WAN2, использовать тот же номер правила или добавить дополнительное, например, 3010? Тот же вопрос по статической таблице — использовать таблицу 5 или создать дополнительную?  

Вот что у меня получилось пока:  
configureset protocols static table 5 route 0.0.0.0/0 next-hop <wan2gateway_IP ADDRESS>  
set firewall modify LOAD_BALANCE rule 3000 action modify  
set firewall modify LOAD_BALANCE rule 3000 modify table 5  
set firewall modify LOAD_BALANCE rule 3000 source address 172.16.100.0/24  
set firewall modify LOAD_BALANCE rule 3000 protocol all  
set protocols static table 6 route 0.0.0.0/0 next-hop <wan2gateway_IP ADDRESS>  
set firewall modify LOAD_BALANCE rule 3010 action modify  
set firewall modify LOAD_BALANCE rule 3010 modify table 5  
set firewall modify LOAD_BALANCE rule 3010 source address 10.10.10.0/24  
set firewall modify LOAD_BALANCE rule 3010 protocol all  
commit;  
exit  

Это правильный способ настроить USG?  
Я также приложил небольшой рисунок нашей схемы, если он поможет.  

Спасибо,  
Джон
Страницы: 1
Читают тему (гостей: 1)