Резервирование IPSec туннеля.

[feoser]

Дома находится в роли роутера ПК с Керио, он имеет двух независимых провайдеров с фикс IP у каждого, к нему с удаленных точек подключаются по IPSec туннелям кеенетики, иногда основной провайдер падает (бывает и на пол дня), весь вопрос, когда упал, нем заешь на сколько, приходится на удаленные кеенетики заходить по KeenDNS и отключать один туннель и включать туннель настроенный на другой удаленный IP, настройки этих туннелей на кеенетиках одинаковы, отличаются только удаленным IP.
Вопрос, можно ли как то сделать резервирование туннеля, если некоторое время не поднимается на одном IP то активировать второй, т.е. допустим если в течении нескольких минут данный туннель не устанавливается, в автомате попытаться установить туннель из другой настройки? Может как то сумбурно и не совсем понятно, отвечу на любые вопросы.

[Le ecureuil]

@feoser

Да, это есть и описано в cli guide. ищите по set-peer-fallback для crypto map.

[feoser]

9 часов назад, Le ecureuil сказал:

@feoser

Да, это есть и описано в cli guide. ищите по set-peer-fallback для crypto map.

Спасибо огромное! Всё получилось, когда загасил основной принимающий шлюз, соединение через небольшое время перекинулось на резервный.
Если можно, ещё небольшой вопрос, правильно ли я понимаю, что на основной шлюз вернется теперь только когда упадет резервный или возможен вариант когда будет смена ключей либо обрыв сессий провайдером со стороны кеенетика?

Вот давно хотел спросить этот вопрос, да всё как то было не досуг, а всё оказалось очень просто, честно, очень помогли.

[feoser]

29 минут назад, feoser сказал:

правильно ли я понимаю, что на основной шлюз вернется теперь только когда упадет резервный или в

Не нашел как редактировать предыдущее сообщение, но зато нашел ответ на свой вопрос.

crypto map fallback-check-interval

[Le ecureuil]

Да, все вернется обратно при оживании первого.

[CBLoner]

А такое в веб прикрутят или это уже слишком?🤪😂

[Le ecureuil]

11 час назад, CBLoner сказал:

А такое в веб прикрутят или это уже слишком?🤪😂

Да можно, там прикручивать два поля

[CBLoner]

2 минуты назад, Le ecureuil сказал:

Да можно, там прикручивать два поля

Ой. Класс...

А то часто провод и резерв на 4Г...

А когда можно ждать? 😬😁

[Le ecureuil]

29 минут назад, CBLoner сказал:

Ой. Класс...

А то часто провод и резерв на 4Г...

А когда можно ждать? 😬😁

Да уже сейчас из cli настройте и проверьте.

Но вы уверены что правильно понимаете суть? Это указание второго адреса сервера для клиента, ничего более. Если у вас модем вторым, то у него же серый адрес и не будет доступа все равно.

[CBLoner]

Что-то типа второго dest (id) на том конце туннеля?

[Le ecureuil]

1 час назад, CBLoner сказал:

Что-то типа второго dest (id) на том конце туннеля?

Да, который работает при недоступности первого.

[jappleseed89]

А со стороны "клиента" с серым IP, который подключается к единственному серверу с белым IP как настроить интерфейсы (провайдер), через которые подключаться, а вернее приоритет интерфейсов? Потому что общему приоритету подключений IPSec site-to-site не следует, в итоге, когда на клиенте 3 провайдера (2 резервных), подключение IPSec идет через случайный интерфейс (или вернее через основной (первый), но после его пропадания не переключается обратно) , чаще всего в итоге получается именно через самый медленный (4G модем) или с лимитным трафиком.

[Le ecureuil]

Это планируется сделать, следите за новостями

[jappleseed89]

В 15.01.2021 в 21:11, Le ecureuil сказал:

Это планируется сделать, следите за новостями

Это для всех туннелей планируется сделать? В WireGuard возможности выбрать интерфейсы я тоже не нашёл.

[Le ecureuil]

7 часов назад, jappleseed89 сказал:

Это для всех туннелей планируется сделать? В WireGuard возможности выбрать интерфейсы я тоже не нашёл.

В WG это сложнее из-за того, что у кадого пира может быть свой исходящий интерфейс. Потому я пока(?) не вижу смысла это делать.

[jappleseed89]

В 15.01.2021 в 21:11, Le ecureuil сказал:

Это планируется сделать, следите за новостями

Есть новости по реализации этой функции? А то до сих пор VPN трафик на хостах с серыми IP не следует приоритету подключений (не переключается обратно).

[CBLoner]

Кстати... появилась возмность выбирать приоритет?