Redundante Linux routers; actieve connecties repliceren?

[Verwijderd]

Ik heb bezig met het opzetten van een redundante verbinding doormiddel van twee linux routers. Op deze routers heb ik heartbeat geinstalleerd. Na wat configuratieproblemen werkt de fail-over test goed. Op de clients heb ik de gateway ingesteld op het virtuele ip adres van de twee linux routers.

Als ik op een van de clients bijvoorbeeld een ssh connectie naar buiten heb en er een fail-over van de routers plaatsvind valt de verbinding weg. Dit komt omdat de active verbinding van de client niet bekend is bij de back-up router, hierdoor moet de verbinding opnieuw worden gemaakt. Is het ook mogelijk doormiddel van connection synchronisation dat de actieve connecties van de master router wordt uitgewisseld met de backup router zodat de verbinding tijdens een fail-over tot stand blijft?

[Arioch]

Userland CARP lijkt me in dit geval wel geschikt.
Het is een port van de OpenBSD CARP implementatie, die op onder andere Linux draait.

edit:

UCARP allows a couple of hosts to share common virtual IP addresses in order
to provide automatic failover. It is a portable userland implementation of the
secure and patent-free Common Address Redundancy Protocol (CARP, OpenBSD's
alternative to the patents-bloated VRRP).

[ Voor 59% gewijzigd door Arioch op 27-10-2005 14:43 ]

[Verwijderd]

Heb ook al naar deze variant gekregen, maar zorgt ucarp er wel voor dat de actieve connecties worden gesynchroniseerd worden met de backup router? Ik wil namelijk hebben dat de clients niets merken van een fail-over tussen de routers.

[_-= Erikje =-_]

Hebben bijde routers ook hetzelfde externe IP adress? anders is je verbinding alsnog weg.

[Verwijderd]

Nee dat niet, ze worden op verschillende manieren aan het internet gekoppeld.

[_-= Erikje =-_]

hoe moet de andere kant dan weten dat je pakketjes ineens naar een ander adres moeten? Je kunt niet even zeggen tegen een host van "Heej, ik was 1.2.3.4 en ik ben nu 3.4.5.6, stuur alles van 1.2.3.4 maar naar mij", dat zou lekker veilig zijn

[ Voor 49% gewijzigd door _-= Erikje =-_ op 27-10-2005 15:56 ]

[DieterVDW]

Wat je wil lijkt mij niet echt mogelijk...
Jij wil dus dat je gewoon zou kunnen verder-ssh'en als je ene host wegvalt.
Dit zou impliceren dat de toestand van de ssh-server gesynchroniseerd blijft.
In de praktijk zou dit inhouden dat het geheugen van je twee routers zou moeten gesynchroniseerd worden... Niet echt realistisch dus ...

Ik denk dus niet dat wat jij wil mogelijk is.
Actieve connecties zullen sowieso moeten opnieuw moeten opgezet worden.

[DieterVDW]

_-= Erikje =-_ schreef op donderdag 27 oktober 2005 @ 15:56:
hoe moet de andere kant dan weten dat je pakketjes ineens naar een ander adres moeten? Je kunt niet even zeggen tegen een host van "Heej, ik was 1.2.3.4 en ik ben nu 3.4.5.6, stuur alles van 1.2.3.4 maar naar mij", dat zou lekker veilig zijn

Als ik het goed begrijp dan is de fail-over reeds geregeld, dit is dus niet het probleem.
En ja dat is perfect mogelijk...

[Verwijderd]

Volgens mij moet het wel kunnen met FreeDSB i.c.m. CARP en Pfsync. Pfsync zorgt er voor dat de verbindingen gesynchroniseerd worden. Heb alleen geen verstand van FreeDSB en hoop dus dat dit ook mogelijk is met Linux.

[Verwijderd]

Lichte titelverduidelijking.

[CyBeR]

Wat jij wil kan inderdaad niet. Als je publieke IP-adressen gebruikt wel (stateless routing), maar met NAT niet. Die state valt vast wel over te halen als je dat per see wilt, maar dan moet je dus wel een identiek extern IP-adres hebben.

[Verwijderd]

Maar is het wel mogelijk als er een identiek extern ip adres is?

[Verwijderd]

SSH verbinding moet openblijven? Lijkt me idd onmogelijk.
Onze servers draait ook met een heartbeat fully gedundant (over 3 machines zelfs ) en als de fik in 1 server gaat heb je altijd downtime. Ontkom je niet aan. De andere machine moet eerst de boel overnemen (zelfde ip). Dit duurt bij ons maximaal 2 a 3 minuten. En die 2 a 3 minuten is er gewoon geen server (en dus geen IP, gewoon timeout krijg je gewoon) omdat alles ff op gang moet komen zeg maar.. Dus hoe kan een verbinding open blijven met iets wat er (tijdelijk) niet is...

[ Voor 7% gewijzigd door Verwijderd op 27-10-2005 16:09 ]

[CyBeR]

Verwijderd schreef op donderdag 27 oktober 2005 @ 16:07:
SSH verbinding moet openblijven? Lijkt me idd onmogelijk.
Onze servers draait ook met een heartbeat fully gedundant (over 3 machines zelfs ) en als de fik in 1 server gaat heb je altijd downtime. Ontkom je niet aan. De andere machine moet eerst de boel overnemen (zelfde ip). Dit duurt bij ons maximaal 2 a 3 minuten. En die 2 a 3 minuten is er gewoon geen server (en dus geen IP, gewoon timeout krijg je gewoon) omdat alles ff op gang moet komen zeg maar.. Dus hoe kan een verbinding open blijven met iets wat er (tijdelijk) niet is...

Op zich, zolang de state van de connections bewaard blijft (of niet nodig is) kun je best een paar minuten zonder verbinding. Ik kan op mijn server (die ook gateway is) bijvoorbeeld best pppd onderuit schoppen, upgraden desnoods, en weer aanzetten. M'n ssh sessies e.d. gaan dan gewoon verder.

Maar dat is lastiger als je 't tussen twee machines wilt doen: dan moet je namelijk ook de informatie over welke connecties er open zijn overzetten.

IMO is 't meer moeite dan het waard is, trouwens.

[Verwijderd]

Maar als je pppd eronderuit schopt is het fysieke IP nog wel berijkbaar toch? En aldus kan de verbinding open blijven. Of heb ik het nu helemaal aan het verkeerde eind en word ik noob verklaard?

Heb nie zoooveel met gateways, maar het (internet) IP MOET toch hetzelfde zijn? Vooral voor een router.

[ Voor 23% gewijzigd door Verwijderd op 27-10-2005 16:18 ]

[CyBeR]

Verwijderd schreef op donderdag 27 oktober 2005 @ 16:15:
Maar als je pppd eronderuit schopt is het fysieke IP nog wel berijkbaar toch? En aldus kan de verbinding open blijven. Of heb ik het nu helemaal aan het verkeerde eind en word ik noob verklaard?

Nee, dat IP hangt aan ppp0 en die wordt down gegooid als pppd ermee kapt. Maar de connection state blijft wel bewaard (omdat ik SNAT gebruik in iptables, met MASQ kan dit niet) dus kan 't gewoon verder gaan als ppp0 (of een andere interface) weer op komt met hetzelfde IP-adres.

[Verwijderd]

ok duidelijk. En het Internet IP dan? moet wel dezelfde zijn toch? andere route tables verwachten toch het IP? Als ze hem niet vinden gaan ze al een andere route berekenen. (mac adress is ook anders btw. andere machine immers)

[Verwijderd]

Je ziet hier uitleg van CARP met Pfsync http://www.countersiege.com/doc/pfsync-carp/

Dit is dus eigenlijk wat ik ook wil maar dan onder linux

[Verwijderd]

hehe, hier haak ik af.

dacht ook dat het om internet routing ging. Maar het zijn zo te zien lokale gateways en is die carp/pfsync wel je beste optie die je hebt...

[ Voor 91% gewijzigd door Verwijderd op 27-10-2005 16:50 ]

[MrBarBarian]

Kijk eens naar pfSense (www.pfsense.com).. das een BSD-based firewall van ondersteuning voor CARP...

Ik weet nietr in wat voor omgeving je moet implementeren, want pfSense zit nog wel in een Alpha status. Maar mijn ervaring is op het moment vooral heel positief (al heb ik niet eist met CARP gedaan )

http://www.pfsense.com/index.php?id=26

[ Voor 7% gewijzigd door MrBarBarian op 27-10-2005 16:51 ]