1. Цель и концепция
Проект реализует отказоустойчивый доступ в Интернет для корпоративной сети CORP.RU (AS65100) через два независимых провайдера (ISP1.NET и ISP2.NET).
Ключевая особенность — использование единого PI-префикса 147.45.67.0/24, который принадлежит организации и анонсируется обоими граничными маршрутизаторами.
Это решение позволяет:
- сохранять один публичный IP при работе через любого из провайдеров;
- обеспечить непрерывность работы сервисов при отказе канала;
- гибко управлять маршрутизацией трафика с помощью BGP.
2. Архитектура сети
Компоненты:
- GATE1 (AS65100) — основной шлюз (приоритет выше в OSPF и BGP Weight);
- GATE2 (AS65100) — резервный шлюз;
- LAN1 (Core) — L3-свитч, объединяющий внутренние VLAN’ы;
- Server — сервер `server.corp.ru`, на котором терминируются VLAN’ы и размещены корпоративные сервисы (DNS, WWW, SSH);
- ISP1.NET (AS65010) и ISP2.NET (AS65020) — провайдеры, к которым подключены GATE1 и GATE2 по eBGP.
Внутренняя адресация:
- Код: выделить все
| Сегмент | Назначение | Подсеть |
| ------------------ | -------------- | -------------- |
| VLAN 100 | Default / INET | 192.168.1.0/24 |
| VLAN 20 | Users | 10.10.11.0/29 |
| VLAN 30 | MGMT | 10.10.11.8/29 |
| VLAN 40 | Engineering | 10.10.11.16/29 |
| VLAN 50 | Printers | 10.10.11.24/29 |
| Транзит GATE1–LAN1 | 50.0.1.0/24 | |
| Транзит GATE2–LAN1 | 50.0.2.0/24 | |
3. Внутренняя маршрутизация (OSPF + iBGP)
OSPF area 0 связывает LAN1, GATE1 и GATE2.
OSPF обеспечивает динамическое обновление маршрутов и распространение дефолтного маршрута к LAN1.
Между GATE1 и GATE2 работает iBGP (AS65100) по Loopback-интерфейсам (60.0.1.1 и 60.0.2.1).
Это обеспечивает синхронизацию маршрутов, полученных от внешних провайдеров, и единое распределение PI-префикса.
4. Внешняя маршрутизация (eBGP)
- Код: выделить все
| Узел | Провайдер | Внешняя AS | Подсеть |
| ----- | --------- | ---------- | ---------------- |
| GATE1 | ISP1.NET | 65010 | 172.18.10.0/24 |
| GATE2 | ISP2.NET | 65020 | 172.180.100.0/24 |
Оба граничных маршрутизатора анонсируют сеть:
- Код: выделить все
network 147.45.67.0 mask 255.255.255.0
BGP настроен с фильтрами (prefix-list TO-ISP, External_Routers), чтобы наружу публиковался только PI-префикс.
От провайдеров принимаются маршруты по умолчанию (0.0.0.0/0), которые распространяются внутрь сети.
5. Использование PI-адреса и NAT
Адрес 147.45.67.34 назначен как основной внешний IP и используется для NAT и статических публикаций сервисов:
- Код: выделить все
ip nat inside source static tcp 192.168.1.1 22 147.45.67.34 2222
ip nat inside source static tcp 192.168.1.1 9090 147.45.67.34 9090
Тем самым, независимо от активного провайдера, серверы доступны по тем же DNS-именам:
- `corp.ru`
- `mail.corp.ru`
- `www.corp.ru`
6. Отказоустойчивость и приоритет маршрутов
- GATE1 имеет больший OSPF priority (100) и BGP weight (200) → используется как основной выход.
- При потере связи с ISP1 — BGP-сессия падает, маршруты удаляются, и весь трафик уходит через GATE2 → ISP2.
- После восстановления — маршрут автоматически возвращается к основному каналу.
Вся сеть продолжает функционировать, клиенты не теряют доступ, так как **PI-адрес остаётся неизменным**.
7. Ключевые сервисы и безопасность
- SSH доступ администратору на сервер через порт 2222;
- DNS зоны `corp.ru` и `in-addr.arpa` для внешней и внутренней сети;
- NTP, логирование, резервное копирование конфигов;
- OSPF MD5-аутентификация для защиты маршрутизации.
8. Результат
- Два независимых выхода в Интернет
- Один PI-префикс и единый внешний IP
- Динамическая маршрутизация и автоматическое резервирование
- Отказоустойчивость без изменения DNS и публичных IP
- Централизованная точка терминации VLAN и сервисов
