но local endpoint разные, это 4 разных туннеля



за это отвечает вот этот кусок
здесь указывается конкретный ответный интерфейс
таблица одна - main, она на скриншоте

Это как бы подразумевается.

В принципе устроил бы и энтузиаст, готовый собрать и потестить эту схему на стенде.

У меня для этого все есть (2 DFL + DFL или MikroTik на роль интернета). Но желание пробовать совершенно отсутствует.

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

DoctorA тот человек который развеет наши сомнения, все собиралось под его реальный запрос, не буду говорит за него - когда, но обещает что скоро
тестировали в представительстве Длинк, картинка в начале (и все остальное), это реально проверенная схема - "модель паровоза в натуральную величину" так сказать, надеюсь что все заработает в продакшине

все работает
к вышеописанному пришлось добавить следующее:
1. разные ключи для всех 4-х тоннелей
2. две дополнительных таблицы маршрутизации для исключения ситуаций, когда пакет приходит на один WAN, а ответ уходит по другому. Из-за этих особенностей при некоторых сочетаниях отключенных/рабочих WAN-ов происходило периодическое убивание ключей IPSec и разрывы связи. Понял, что так происходит, когда увидел в логе запрос на создание IKE SA IPSec3 (remote WAN2 - local WAN1) с параметрами как у IPSec1 (remote WAN1-local WAN1).

подробный how-to, надеюсь, сделает Shkiper

огромная ему благодарность за путёвый совет купить DFL-и, ну и за собственно помощь в их освоении. Железяки знатные!

Почему пришлось делать разные PSK ?

_________________
С уважением, Matrox.
DFL, HPE, QNAP, Netgear и прочее железо...

это было сделано в процессе экспериментов, когда было еще непонятно, что происходит

приходили запросы на создание IKE SA на интерфейсы, по которым уже был открыт IPSec
эти запросы убивали действующие SA и канал рвался.

в окончательном варианте, скорее всего, можно и одинаковый ключ сделать, но все как-то руки не доходят проверить. Работает, и хорошо!

Updated: сделал один ключ на все IPSec-и, все работает.
т.е. из обязательных дополнительных шагов - только альтернативные таблицы маршрутизации реально нужны.

небольшой апдейт

в крайней прошивке в свойствах IPSec присутствует пункт Outgoing Routing Table
его наличие позволило сделать активными сразу ВСЕ четыре IPSec канала, так как стало возможным явно указать исходящий WAN

Shkiper! И от меня спасибо! Настроил по этой схеме фэйловер между тремя DFL-ами.


И Вам большое спасибо, очень важное дополнение.


Если не затруднит озвучьте, пожалуйста, "минимальные параметры мониторинга".
Сейчас мониторинг по умолчанию, переключения приходится ждать по несколько минут. Экспериментировать особенно не получается, так как все три DFL-ки под постоянной нагрузкой...

Сам отвечу на свой вопрос.
Изменения относительно дефолтного мониторинга сделал такие:
Grace Period: было 5 стало 2
Polling Interval: было 10000 стало 2000

Выдергивание основного WAN'а, при запущенном ping'е туннелей с параметром -t, дает только 2 таймаута. Годится.

По этой теме есть давно обновленный FAQ http://www.dlink.ru/ru/faq/331/1724.html в пределах стенда все работает, проверено не однократно.

_________________
Сообщения в PM игнорируются, задавайте вопросы на форуме.