Ubiquiti, load balancing, LTE, CGNAT en DDNS

[Howmessages]

Mijn broer woont woont in het VK op het platteland met alleen LTE als optie voor internet. Hij gebruiken Three mobile omdat dit de enige provider is zonder CGNAT waardoor we port forwarding voor o.a. de Synology NAS kunnen instellen. Helaas knijpt Three Mobile internet nogal tegenwoordig.

Nu heb ik een tweede LTE-modem aangesloten op zijn Ubiquiti USG P3 op WAN2 en daar load balancing op ingesteld. Het probleem is echter dat de Synology NAS regelmatig verbinding maakt met DDNS om het IP-adres vast te stellen maar dit dan vaak over WAN2 doet en dus over CGNAT.

Ik wil dus een manier vinden waardoor DDNS alleen nog over de modem zonder CGNAT (modem1) gaat, bijvoorbeeld door al het verkeer van de NAS over modem1 te routen. Of dat het DDNS verkeer (ik denk *.synology.com) alleen over modem1 route. Volgens mij is daar een static route voor nodig, maar het lukt mij niet om dit in Unifi in te stellen.

Ik had ook nog bedacht om de Synology in de LAN van modem1 te prikken, alleen dan kan ik volgens mij geen VPN-tunner extern naar de Synology opzetten om daarna in de LAN achter de USG P3 komen. Dit is af en toe nodig als ik vanuit Nederland wijzigingen wil maken in zijn netwerk.

Hoe zouden jullie dit aanpakken?

[nelizmastr]

Met een statische route zit je inderdaad op de goede weg. Routing tabellen zijn zo bedacht dat de meest specifieke route als eerste gebruikt wordt. Als je dus een route maakt van de NAS naar het grote boze internet dat hij dan over WAN1 moet.

Nu zijn die USG’s een beetje eigenwijs en werkt die theorie niet zo eenvoudig als bij andere vendoren en ben je veel aangewezen op aanpassen van config files.

Kijk eens naar deze link:

https://help.gowifi.co.nz...-based-routing-with-a-usg

Voorbeeld 2 is wat je zoekt volgens mij.

[Shinji]

Misschien andere oplossing dan je zocht, maar ik zou als bandbreedte bij de CGNAT provider geen beperking is geen gebruik maken van de provider zonder CGNAT en een VPS nemen om vanuit de CGNAT provider een tunnel naar op te zetten. En dat ook vanaf extern te doen en op die manier het netwerk te benaderen.

[ Voor 6% gewijzigd door Shinji op 02-07-2023 09:07 ]

[Kabouterplop01]

ik ben bang dat je dat vanaf die kant niet gaat lukken. Je bent met een echte loadbalancer wel op de juiste weg, maar het probleem zit hem in het feit dat je aan de WAN kant het verkeer zo moet kunnen manipuleren dat het over de 2 interfaces tegelijkertijd moet gaan stromen.

als je met de DNS 2 a records maakt, zal DNS wel gaan "load " balancen op basis van Round Robin. Dat betekent willekeurig ip a, ip b.
Meer keuzes heb je niet.
De truuk die @Shinji schetst gaat je helpen, met een reverse tunnel, zodat je op je VPS uitkomt en daar dus op connect via DNS, maar ben je toch weer gebonden aan.
Hoeveel sessies heb je eigenlijk gelijktijdig? Hoeveel verwacht je er?

[Howmessages]

nelizmastr schreef op zondag 2 juli 2023 @ 08:34:
Met een statische route zit je inderdaad op de goede weg. Routing tabellen zijn zo bedacht dat de meest specifieke route als eerste gebruikt wordt. Als je dus een route maakt van de NAS naar het grote boze internet dat hij dan over WAN1 moet.

Nu zijn die USG’s een beetje eigenwijs en werkt die theorie niet zo eenvoudig als bij andere vendoren en ben je veel aangewezen op aanpassen van config files.

Kijk eens naar deze link:

https://help.gowifi.co.nz...-based-routing-with-a-usg

Voorbeeld 2 is wat je zoekt volgens mij.

Iets over Policy Based Routing had ik ook gevonden, maar dit is wel een stuk duidelijker dus ik denk dat ik dit eens ga proberen. Weet jij of dit ook lukt met een domain name ipv IP-adres?

Het is alleen wel erg jammer dat dit niet via de GUI kan maar via CLI moet.

Shinji schreef op zondag 2 juli 2023 @ 09:06:
Misschien andere oplossing dan je zocht, maar ik zou als bandbreedte bij de CGNAT provider geen beperking is geen gebruik maken van de provider zonder CGNAT en een VPS nemen om vanuit de CGNAT provider een tunnel naar op te zetten. En dat ook vanaf extern te doen en op die manier het netwerk te benaderen.

Daar heb ik ook aan zitten denken, alleen dan zitten we wel weer met een extra abonnement en ik heb nog geen ervaring met VPS. Maar het is misschien wel de moeite waard om eens naar te kijken.

Kabouterplop01 schreef op zondag 2 juli 2023 @ 09:52:
ik ben bang dat je dat vanaf die kant niet gaat lukken. Je bent met een echte loadbalancer wel op de juiste weg, maar het probleem zit hem in het feit dat je aan de WAN kant het verkeer zo moet kunnen manipuleren dat het over de 2 interfaces tegelijkertijd moet gaan stromen.

Denk jij dat het ook niet gaat lukken met Policy Based Routing?

Hoeveel sessies heb je eigenlijk gelijktijdig? Hoeveel verwacht je er?

Er zitten momenteel 37 clients op het netwerk waarvan zo'n 10 actief internet gebruiken. Heeft dat nog ergens invloed op?

Ik bedacht mij trouwens iets anders: wat als ik in de modem2 met CGNAT een web filter aanmaak die alles naar Synolgy blokkeert? Op die manier zou DDNS alleen maar geupdatet kunnen worden via de modem1 zonder CGNAT. Maar mogelijk zorgt dit voor andere problemen die je helemaal niet wilt.

Of iets anders: kan ik de NAS direct op modem1 aansluiten en er op een of andere manier voor zorgen dat deze alsnog door de WAN van de USG kan? Op die manier kan ik nog wel een VPN-tunner naar de NAS opzetten en via die weg ook bij het netwerk achter de WAN.

[Shinji]

Je hebt dan wel een internet provider minder nodig, dus dat geld kan je dan aan een VPS besteden.

[Howmessages]

Shinji schreef op maandag 3 juli 2023 @ 13:07:
Je hebt dan wel een internet provider minder nodig, dus dat geld kan je dan aan een VPS besteden.

De tweede provider willen we houden in combinatie met load balancing om de betrouwbaarheid van het netwerk te vergroten. Het blijft LTE en dus wil de verbinding ook nog wel eens wegvallen, dan is een backup erg fijn.

[Kabouterplop01]

Howmessages schreef op maandag 3 juli 2023 @ 13:03:

Denk jij dat het ook niet gaat lukken met Policy Based Routing?

Je hebt 2 convergentie punten; op jouw netwerk waar de verkeersstromen samen komen én bij de Authoritive DNS server, die verantwoordelijk is voor de juiste gegevens serveren van jouw domein.
daar wordt door de 2 dezelfde a-records met verschillende ip adressen door Round Robin (random a/b) selection een a-record geserveerd. DNS heeft een cache in een resolver, dus DNS is je beperking.

Wat je moet weten is welke IP port combinatie je krijgt i.g.v CGNAT (voor je VPS reverse tunnel) en je andere ip adres.

Die moet je 50/50 verdelen over je gebruikers:
stel je hebt 20 gebruikers:
die verdeel je over je 2 ip adressen. (nu moeten we gelijk in ogenschouw nemen dat je een VPS nodig hebt vanwege de reverse tunnel, die daarnaartoe wordt gezet. 10 Van je clients connecten naar de VPS, de andere 10 naar WAN1 (zonder CGNAT) )

dan kun je je URL/URI in de vorm van een ip adres serveren en voor je site zet je een reverse proxy zodat de 2 interfaces kunnen convergeren naar je ene site.
Heb je geen echte DNS.

Het enige wat je zou moeten verzinnen is hoe je die specifieke gegevens van je URL/URI gaat verdelen, op basis van IP adres.

[Howmessages]

nelizmastr schreef op zondag 2 juli 2023 @ 08:34:
Met een statische route zit je inderdaad op de goede weg. Routing tabellen zijn zo bedacht dat de meest specifieke route als eerste gebruikt wordt. Als je dus een route maakt van de NAS naar het grote boze internet dat hij dan over WAN1 moet.

Nu zijn die USG’s een beetje eigenwijs en werkt die theorie niet zo eenvoudig als bij andere vendoren en ben je veel aangewezen op aanpassen van config files.

Kijk eens naar deze link:

https://help.gowifi.co.nz...-based-routing-with-a-usg

Voorbeeld 2 is wat je zoekt volgens mij.

Dit heeft mij uiteindelijk heel erg geholpen. Ik heb uiteindelijk niet voor example 2 gekozen maar voor example 1 en uitgezocht wat de destination van DDNS op Synology was. Die gebruikt checkip.synology.com dus ik heb alle bijbehorende IP-adressen toegevoegd met als destination de gateway van de modem op Three UK.

code:

{
    "firewall": {
        "modify": {
            "LOAD_BALANCE": {
                "description": "LOAD_BALANCE",
                "rule": {
                    "2000": {
                        "action": "modify",
                        "destination": {
                            "address": "159.89.142.52"
                        },
                        "modify": {
                            "table": "1"
                        },
                        "protocol": "all"
                    },
                    "2100": {
                        "action": "modify",
                        "destination": {
                            "address": "159.89.129.146"
                        },
                        "modify": {
                            "table": "1"
                        },
                        "protocol": "all"
                    },
                    "2200": {
                        "action": "modify",
                        "destination": {
                            "address": "165.227.63.200"
                        },
                        "modify": {
                            "table": "1"
                        },
                        "protocol": "all"
                    },
                    "2300": {
                        "action": "modify",
                        "destination": {
                            "address": "138.68.28.244"
                        },
                        "modify": {
                            "table": "1"
                        },
                        "protocol": "all"
                    },
                    "2400": {
                        "action": "modify",
                        "destination": {
                            "address": "142.93.81.166"
                        },
                        "modify": {
                            "table": "1"
                        },
                        "protocol": "all"
                    },
                    "2500": {
                        "action": "modify",
                        "destination": {
                            "address": "206.189.214.49"
                        },
                        "modify": {
                            "table": "1"
                        },
                        "protocol": "all"
                    },
                    "2600": {
                        "action": "modify",
                        "destination": {
                            "address": "159.65.77.153"
                        },
                        "modify": {
                            "table": "1"
                        },
                        "protocol": "all"
                    },
                    "2700": {
                        "action": "modify",
                        "destination": {
                            "address": "104.248.79.120"
                        },
                        "modify": {
                            "table": "1"
                        },
                        "protocol": "all"
                    }
                }
            }
        }
    },
    "protocols": {
        "static": {
            "table": {
                "1": {
                    "route": {
                        "0.0.0.0/0": {
                            "next-hop": {
                                "192.168.8.1": "''"
                            }
                        }
                    }
                }
            }
        }
    }
}

Nu wordt het IP-adres voor DDNS altijd via de juiste modem opgehaald. Het is wel even afwachten of checkip.synology.com geen IP-adressen gaat wijzigen, maar dan kan ik eventueel altijd nog voor source address de NAS kiezen. Ik vind alleen voor DDNS instellen net wat eleganter, maar we gaan het zien.

Ik heb ook wat meer vertrouwen gekregen in het gebruik van CLI/EdgeRouter dus dat is ook leuk.