Проблема с VPN Site-to-Site в резервном узле.

Проблема с VPN Site-to-Site в резервном узле., UniFi Network

Virg0

Guest

10.01.2025 07:16:00

Привет! У меня тут две VPN с одним и тем же удаленным подсетью 192.168.68.0/24.

VPN1 – расстояние до маршрута – 30
VPN2 – расстояние до маршрута – 50

Когда VPN1 уходит в неисправность, я теряю доступ к 192.168.68.0/24.

Если я ставлю VPN2 расстояние до маршрута – 10, когда VPN1 не работает, доступ к 192.168.68.0/24 появляется.

Получается, что Site-to-Site VPN с отказоустойчивостью не работает.

У кого-нибудь было такое?

Virg0 Guest	#2 10.01.2025 08:27:00 Вот это да, неожиданность для меня после работы с Fortigate. Спасибо.

cabsil

Guest

26.03.2025 07:25:00

Просто идея. А что если настроить статический маршрут для "резервного" туннеля, а затем настроить PBR-маршрут для "основного" туннеля и выбрать опцию "fallback" в настройках PBR? Я это не тестировал, только убедился, что в веб-интерфейсе эти опции отображаются.

realjotun

Guest

15.03.2025 09:53:00

@Virg0 Я с тобой согласен, сообщение вводит в заблуждение. Резервное подключение, скорее всего, заработает только в том случае, если UniFi Gateway имеет два WAN-интерфейса и один из них отваливается — то есть, проблема локальная. Попробую с OSPF.

Virg0

Guest

15.03.2025 07:00:00

Ну вот и зачем тогда это функционал, которого раньше и не было? OSPF и без него работал. Fortigate тоже на кастомном Linux ядре, но таких проблем там нет. Всё зависит от реализации. Сообщение в настройках вводит в заблуждение.

wdipz

Guest

14.03.2025 16:47:00

В данном случае нужна динамическая маршрутизация с использованием OSPF. У тебя нет реального резервирования с разными метриками или с nexthop. В большинстве случаев неисправный интерфейс не переходит в состояние down, или Linux OS (UniFi шлюз, основанный на этом, с кастомным ядром) его не замечает. Если всё же хочешь использовать это, понадобится дополнительный мониторинговый скрипт.

realjotun

Guest

14.03.2025 16:28:00

У меня та же проблема, и вот моя ситуация: UniFi Gateway с одним WAN-интерфейсом в филиальном офисе подключается к стороннему шлюзу (Sophos) в головном офисе, который имеет два WAN-интерфейса. У UniFi Gateway расстояние маршрутизации 30 для VPN-1 и 40 для VPN-2 (OSPF нет). Если VPN-1 выходит из строя в головном офисе, VPN-1 на UniFi Gateway остается активным и работает. Как итог, соединение перестаёт работать. Может ли OSPF решить эту проблему? Или есть другое решение? @Virg0 Спасибо!

Virg0

Guest

10.01.2025 13:58:00

Одна штука меня беспокоит. Раньше не было возможности создать второй VPN с локальной сетью, которая уже существовала в первом. Эта функция появилась в UDR UniFi OS 4.1.13 и Network 9.0.108, и похоже, что она должна работать без какой-либо дополнительной конфигурации или OSPF. Может, разработчики смогут прояснить ситуацию?

cabsil Guest	#9 10.01.2025 08:03:00 Твой (сбойный) маршрут пока что активен, потому что интерфейс не падает, когда VPN вниз. Тебе нужно добавить что-то вроде обнаружения, например, BFD. Уверен, что это нормальное и ожидаемое поведение.

Virg0 Guest	#10 10.01.2025 07:55:00 Вопрос не в том, что использовать, а в том, что заявленная функциональность не работает.

cabsil Guest	#11 10.01.2025 07:21:00 Используйте динамическую маршрутизацию вместо статической. https://help.ui.com/hc/en-us/articles/12115251061143-UniFi-Gateway-OSPF-Advanced

cabsil Guest	#12 10.01.2025 08:14:00 Этот пост кажется связан с твоей проблемой. https://community.ui.com/questions/Why-do-vti-tunnel-interfaces-stay-up-even-when-the-underlying-VPN-goes-down/5db514e6-6223-4617-90c1-284dd3180b94#answer/c9054a71-0219-4d44-9659-ed5148d0571c

Читают тему (гостей: 1)