Configuración de Failover para 2 WAN

Configuración de Failover para 2 WAN

Como Proveedores de Servicio de Internet (ISP) hemos de tener líneas de respaldo en caso de que nuestra línea principal falle.
Dependiendo de cada empresa podemos tener diferentes escenarios.
La propuesta de este tutorial aplica cuando tenemos un servicio dedicado por el cual queremos sacar todo el tráfico de nuestra red y solo en caso de que este falle se habilite nuestra segunda línea y el tráfico salga por esta misma.

Archivo adjunto 1251


A continuación, se detalla la configuración del laboratorio.
Omitimos la configuración de los TP-LINK asumiendo que es la parte más sencilla de realizar.

Configuración del Switch Planet

Empezaremos configurando el switch Planet. La configuración se hará por medio de comandos. Se resume a lo siguiente, crearemos dos VLAN y les asignaremos una IP para que tengan comunicación con los routers de los proveedores.
Los routers de los proveedores no tienen conocimiento de las VLAN que usaremos en el switch así que el tráfico que sea entre ellos y el switch debe ir untagged (no tagueado). Sin embargo, los puertos del switch deben configurarse de tal modo que el router del proveedor tenga acceso a la interfaz VLAN.
1.- Crearemos las VLAN y les asignaremos las direcciones que tenemos en el diagrama.

Archivo adjunto 1170







2.- Declaramos los puertos GE1 Y GE2 como puertos de acceso y a que VLAN tienen acceso.

Archivo adjunto 1171


3.- Declaramos la interfaz que irá conectada al Router Mikrotik (TG1 según el diagrama) como troncal (trunk) y permitimos acceso de nuestras VLAN.

Archivo adjunto 1172







4.- Opcionalmente, como buena práctica le asignamos un nombre a nuestras VLAN

Archivo adjunto 1173






Probamos realizando un ping hacia las IPs de nuestros proveedores. Si todo esta configurado correctamente debemos alcanzar a los dos.

Configuración del Router Mikrotik

El router Mikrotik es quien realizará la toma de decisiones para el FailOver. A grandes rasgos lo que tenemos que configurar es el direccionamiento de las interfaces, el NAT para cada proveedor, las rutas por defecto y finalmente el Failover.

1.- Empezaremos creando las interfaces VLAN sobre la interfaz SFP+ 1. Una vez que han sido creadas les asignaremos una dirección IP.

Archivo adjunto 1174

2.- Probamos que tenemos conectividad hacia los proveedores

Archivo adjunto 1175

3.- Enmascaramos nuestro tráfico en las interfaces por donde alcanzamos a nuestros proveedores que son las VLAN. En cada NAT Rule la acción será Masquerade como se muestra en la siguiente imagen.

Archivo adjunto 1176

4.- Seguidamente crearemos 2 rutas por defecto, cada una hacia un proveedor. Nuestro proveedor principal debe tener distancia 1 y el otro proveedor debe tener una prioridad más alta. De esta manera el tráfico siempre saldrá por el proveedor principal y solo cuando este falle el tráfico saldrá por el otro.
IMPORTANTE: Cada ruta por defecto debe tener un comentario ya que usaremos los comentarios para seleccionar una ruta y desactivarla (o activarla según sea el caso).

Archivo adjunto 1177

Failover

Hasta este punto tenemos configurado el acceso a internet por medio de nuestros proveedores.
Vamos a configurar un pequeño scritp para que se deshabilite la ruta por defecto hacia nuestro proveedor principal en caso de que el router detecte que no hay salida a internet por medio de ese proveedor.

1.- Forzaremos el router a que tenga una ruta para 2 IPs públicas. Como buena práctica debemos dejar un comentario que nos recuerde el porqué existen esas dos rutas, ya que son importantes y es necesario que siempre estén activadas para que nuestro failover funcione.

Archivo adjunto 1178

2.- Mikrotik tiene una poderosa herramienta llamada Netwatch. La ventaja y la principal razón por la cual se usa no es otra que programar tareas cuando nos responda el ping hacia un destino y programar otras tareas cuando el ping no responda.
En Tools>Netwatch crearemos una nueva regla. En dicha regla en el apartado host debemos colocar la IP que vamos a estar monitoreando. En este laboratorio las IPs que hemos elegido son las de servidores DNS públicos, ustedes pueden cambiarlos por otros si así lo prefieren.

Archivo adjunto 1179

Como vemos, lo que realiza Netwatch es un ping constante hacia una IP. Si la IP responde al ping entonces Netwatch ejecuta la instrucción que tenga en el apartado ON y si no, ejecuta la instrucción en el apartado DOWN.

Archivo adjunto 1180





Lo que nosotros configuramos es, que si perdemos el acceso a internet por medio de un proveedor, entonces la regla por defecto que le configuramos será deshabilitada. De esta manera, si nuestro proveedor principal nos deja sin internet, la regla por defecto se apagará y el tráfico será desviado al segundo proveedor.
Si tenemos acceso a Internet con ambos proveedores, el tráfico saldrá solo con el proveedor principal, ya que así lo configuramos según la distancia que tienen las rutas.