Utilizamos el firewall de palo-alto como una puerta de enlace a Internet. Tenemos 16 direcciones IP estáticas. Uno se usa para el tráfico saliente (los usuarios navegan por Internet). El resto se usa para el tráfico entrante (servidor de correo, servidores web, etc.). Para fines redundantes, nos suscribimos al segundo ISP. Compramos 16 nuevas direcciones IP estáticas del nuevo ISP. Y aquí viene el infierno con la configuración. He estado leyendo durante dos días sobre BGP, direcciones PI, números AS y otras cosas. Pero no entiendo nada. La teoría sin práctica y la comprensión general no es nada. Llamo a estos ISP, y ambos proveedores dicen que no configurarán ninguna ruta y que no venderán números AS, intente resolverlo usted mismo. En nuestro pequeño país asiático no hay LISP ni ninguna otra solución de enrutamiento base en la nube. No sé qué hacer a continuación. ¿Debo solicitar el número AS directamente de APNIC? Con reglas basadas en políticas, solo puedo configurar la redundancia de tráfico saliente. ¿Existe alguna solución confiable para hacer redundante nuestro pequeño hosting? ¿Es posible configurar BGP sin números AS y direcciones PI?
7
Respuestas:
Incluso si aún pudiera obtener direcciones IP IPv4 en Asia: si sus ISP no desean enrutar sus direcciones IP, entonces no hay nada que pueda hacer. Los túneles y LISP podrían resolver algunos de sus problemas (uso LISP aquí), pero usted ya declaró que esto no está disponible en su región.
BGP es el protocolo que se utiliza para enrutar sus direcciones IP desde un AS. Necesita ambos para ejecutar BGP. De todos modos, los bloques de 16 direcciones son demasiado pequeños para ser enrutados con BGP. Técnicamente podría, pero nadie aceptará sus rutas.
Si desea tener sus propias direcciones IP y enrutarlas, etc., tendrá que hacer algunas inversiones. Debido a que APNIC se quedó sin direcciones IPv4 para una distribución normal, deberá cumplir con algunas reglas muy estrictas. Si recuerdo correctamente, las reglas actuales son que ya debe ser multihomed, debe poder justificar el 25% de las direcciones (lo que sería el 25% de 256 = 64) de inmediato y el 50% (= 128) dentro de un año. Según sus números actuales, eso parece poco probable. Si pudiera, entonces necesitaría obtener un número AS de APNIC y tendrá que encontrar ISP que quieran configurar sesiones BGP con usted. Esto probablemente será más costoso que sus contratos actuales. Y además de eso, tendrías que estudiar mucho para aprender cómo funciona el enrutamiento de Internet y el BGP o tendrás que contratar a otra persona para que lo administre por ti.
En resumen: probablemente no valga la pena para su caso.
fuente
Puede configurar un firewall de Palo Alto Networks para conmutar por error al otro ISP. Debe configurar dos conjuntos de NAT, uno para un ISP y otro para el otro, o configurar dos DMZ, uno para un ISP y otro para el otro (o superponer dos subredes en una interfaz). Se usará tanto para la entrada y fallará al segundo para la salida cuando uno falle.
Puedes empezar a leer aquí .
fuente
Hay alguna forma de equilibrar la carga sin AS y PI.
Para la salida se logra mediante el enrutamiento de políticas
Para el tráfico entrante de conmutación por error, es bueno usar DNS dinámico. Cuando el ISP primario cambió, el nombre DNS (con TTL lo suficientemente corto) del sitio cambió a una nueva IP y los clientes mantienen el acceso al sitio.
Establecer DNS en dos IP simultáneas puede hacer una selección de IP round robin en los clientes.
El cambio periódico (con un período cercano al registro TTL de DNS) entre dos IP también puede hacer el equilibrio. El mismo efecto es usar un servidor DNS que admite dar diferentes IP a diferentes clientes.
fuente