[Dual WAN] Policy / Destination based Routing

[FireDrunk]

Voor onze LAN-party ben ik bezig met het opzetten van een Dual-WAN router.

Even kort de situatie:

WAN verbinding 1) Gemeentelijke Glasvezel lijn, gefirewalled op alleen poort 80 en 443. (100Mb/100Mb)
WAN verbinding 2) UPC verbinding buurtbewoner, vrij internet (60Mb/6Mb)

Doel: Al het HTTP en HTTPS verbinding over WAN verbinding 1 routeren, en al het andere verkeer (TCP/UDP whatever) over WAN verbinding 2.

De twee verbindingen werken beide met DHCP, en ik krijg dus automatisch twee gateways toegewezen.
Geen probleem zou je denken, je stelt een default gateway in, en je maakt wat regeltjes om dat verkeer te routeren.

Helaas heb ik al meerdere pakketten geprobeerd, en geen van allen lijkt goed te werken.

Welke heb ik geprobeerd:

1) pfSense - Ondersteund geen destination based routering, alleen source based en/of WAN load balancing, maar dat werkt niet goed, aangezien een van de verbindingen gefirewalled is verlies je de helft van je traffic.

2) Zentyal, lijkt het te kunnen, maar na een reboot of na een connection reset heeft deze moeite met de default gateways uit elkaar te houden, en gaat op slot.

3) Vyatta, kan alleen hardcoded policy based routeren over custom routing tabellen, en niet NAT gebruiken als het verkeer aan een policy voldoet.

4) ClearOS, ondersteund alleen single port destination based routing, en snapt ook dual wan niet goed (verkeer word over 1 van de 2 gerouteerd, niet over beiden)

Is er iemand die een oplossing danwel een idee heeft hoe ik dit op kan lossen? Of ziet er iemand meteen wat ik verkeerd doe

TL;DR;

Ik zoek een software oplosing die het volgende kan:

Minimaal:
Dual WAN, policy based routing, firewall

Leuk:
HTTP Transparant Caching Proxy, URL Filter / Blacklisting, Traffic Shaping, Bandwith Limiting.

Wie o wie?

[johnkeates]

De distro's maken niet zo veel uit, ik weet zeker dat je met pf kan doen wat je wil.

Wat je waarschijnlijk moet doen is uitgaand NAT combineren met je routing policies, zodat de gateway en daarmee de route automatisch gekozen wordt. Dan stel je dus zelf wel je policies in, maar op NAT niveau en niet op routing niveau.

Als je namelijk op routing policy zou gaan regelen, zou NAT automagisch moeten gaan, en dat gaat het niet.

[ Voor 14% gewijzigd door johnkeates op 03-10-2013 13:26 ]

[FireDrunk]

Kan je eens een voorbeeldje geven?

[DJSmiley]

M0n0wall / Smoothwall? (Geen idee eigenlijk of die nog bestaan)

Maar ik kan me niet voorstellen dat t met de genoemde pakketten niet zou kunnen. Ik gok eerder een config issue dan een beperking in de pakketten.

Kwa hardware-based dingen weet ik dat het bijvoorbeeld met een Sonicwall prima kan. Software pakketten heb ik minder ervaring mee.

[FireDrunk]

Smoothwall gebruikt volgens mij dezelfde pakketten als Zentyal (Squid / iproute2), dus daar zou het dan ook mee moeten kunnen.

[dujour]

Je zou een proefversie van Watchguard XTMv kunnen aanvragen.
Dan heb je een 30 dagen trial en kun je dit instellen.

[Whazaer]

pfSense kan dit wel. Je kunt firewall rules toevoegen met destinatinon Ports (dus http/https)

Vervolgens kun je een gateway instellen.

Dus alle verkeer naar je loadbalancing gateway, en je http en https verkeer naar WAN1

Mocht je hulp nodig hebben voor het opzetten van een loadbalancing gateway in pfSense, kun je hier je vragen wel stellen.

[FireDrunk]

Dus als ik de gateways groepeer en een firewall rule aanmaak welke HTTP/HTTPS alleen toestaat op 1 van de twee gateways word er automatisch gerouteerd?

Of begrijp ik het niet goed?

[CyBeR]

Je begrijpt het niet goed.

In een pf firewall moet je traffic matchen en als actie de next-hop aanpassen. Dus bijvoorbeeld: match tcp poort 80 of tcp poort 443: next-hop <gateway van glasvezel>.

[Whazaer]

Op je LAN interface een firewall rule maken die HTTP/HTTPS toestaat op WAN1, en vervolgens een regel die alle verkeer toestaat op je Loadbalancing gateway.


Edit, ik heb momenteel niet veel tijd, en ook geen toegang tot een pfSense server, dus het kan zijn dat ik niet helemaal duidelijk ben. Maar het kan wel zeker (loadbalancing met https geeft problemen bij internetbankieren ed.)

[ Voor 42% gewijzigd door Whazaer op 03-10-2013 14:39 ]

[FireDrunk]

CyBeR schreef op donderdag 03 oktober 2013 @ 14:36:
Je begrijpt het niet goed.

In een pf firewall moet je traffic matchen en als actie de next-hop aanpassen. Dus bijvoorbeeld: match tcp poort 80 of tcp poort 443: next-hop <gateway van glasvezel>.

Mooi gezegd, maar waar doe je dat?

[Paul]

Je moet dit in pfSense doen bij de firewall regels. Eerst zorg je dat beide WAN-interfaces goed staan en dus een IP krijgen van de provider. Vervolgens ga je naar de NAT-instellingen en kijk je of de auto-generated NAT regels kloppen.

Heb je hier maar regels voor één van de verbindingen dan zet je de automatische functie uit en dupliceer je de regels van de ene WAN-verbinding met de regels van de 2e.

Vervolgens is het zo simpel als in de firewall-regels op LAN een regel aan te maken voor destination IP all proto TCP port 80 (en 443) en daarop bij de advanced settings van die regel de gateway anders in te stellen.

Zet meteen bovenaan de regels een TCP/25 -> Block voor het geval een van je gasten aan het spammen slaat

[FireDrunk]

Ik ben met een verse pfSense installatie begonnen.
Stappen die ik ondernomen heb:

1) Basis setup, LAN, WAN en OPT1 instellen als LAN, WAN_Game en WAN_Internet
2) Gateway groep aangemaakt van beide GW's
3) Getest of internetten werkt, ja werkt
4) Floating rule aangemaakt: Allow Any Any MultiGW
5) LAN Rule aangemaakt Allow HTTP Gateway: WAN_Internet
5) LAN Rule aangemaakt Allow HTTPS Gateway: WAN_Internet

Het lijkt nu te werken (ik zie sessies over beide GW's gaan).

is dit wat je bedoelde? Of moet ik ook nog deny rules aanmaken op de andere gateway?

[ Voor 5% gewijzigd door FireDrunk op 03-10-2013 15:16 ]

[FireDrunk]

Midden boven: pfSense rules
Links: pfTop van WAN 1
Rechts: pfTop van WAN 2

Links alleen poort 80 connecties en rechts een SSH verbinding. Het lijkt dus te werken.

[Paul]

Floating heb ik zelf nooit gebruikt, ik zette dan altijd de rules direct op LAN. Als je in de lijst met sessies alleen dingen naar 80 / 442 over de ene lijn ziet gaan en over de andere lijn alles behalve 80 / 443 dan werkt het

Je had het niet in een multi-GW hoeven zetten, sterker nog, nu hangt het af van hoe je die precies hebt gedefinieerd of het doet wat je wilt. Meeste van mijn kennis komt van 1.2.3 ipv 2.x, maar is het een failover of load balancing group? Bij die 2e gaat een deel van het verkeer alsnog over WAN_Internet.

Waarom game je trouwens over de (relatief) 'high' latency link met lagere upload en stuur je standaard niet-spannend browsewerk over de snellere bredere pijp?

Ja, dat zijn aannames, maar hoewel ik met 15 ms via WiFi -> Ziggo niet mag klagen lijkt me dat glas nog net wat lagere latency heeft

Edit: In je plaatje is het weer anders dan in de post erboven Zo klopt het inderdaad

[ Voor 5% gewijzigd door Paul op 03-10-2013 15:41 ]

[FireDrunk]

We hebben geen keuze, de 100/100 verbinding is niet van ons, maar van de Gemeente, en daar hebben we geen zeggenschap over de firewall. Die laat alleen maar 80/443 door.
Ik zou het inderdaad best om willen draaien, maar helaas