Переключения каналов интернет Debian Ubuntu

Настройка системы Linux

Чтобы была возможность раздавать интернет внутри VPN сети, необходимо разрешить перенаправление пакетов внутри ядра Linux. Без этих параметров не получится настроить маршрутизацию.

Открываем файл /etc/sysctl.conf

nano /etc/sysctl.conf

Добавляем следующие строки в конец файла (или их можно раскомментировать внутри файла, если они там есть)

net.ipv4.ip_forward=1
net.ipv6.conf.all.forwarding=1

Выполняем команду применения изменений в файле sysctl.conf

sysctl -p

добовляем таблицы маршрутизации

echo "1001 isp1_table" >> /etc/iproute2/rt_tables
echo "1002 isp2_table" >> /etc/iproute2/rt_tables

Настраиваем сетевые интерфейсы ip адреса получаются автоматически

#isp1
auto ens19
iface ens19 inet dhcp
metric 5

#isp2
auto ens20
iface ens20 inet dhcp
metric 10

post-up ip route add default via 10.0.23.1 dev ens19 table isp1_table
post-up ip route add default via 10.0.17.1 dev ens20 table isp2_table
post-up ip rule add fwmark 0x1 lookup isp1_table
post-up ip rule add fwmark 0x2 lookup isp2_table

настраиваем nftables что бы он отвечал с интерфейса на который пришол пакет

table inet mangle {
    chain prerouting {
        type filter hook prerouting priority mangle; policy accept;

        # Маркировка соединений
        iifname "ens19" ct mark set 1
        iifname "ens20" ct mark set 2

        # Применение маршрутной метки
        ct mark 1 meta mark set 1
        ct mark 2 meta mark set 2
    }

    chain output {
        type filter hook output priority mangle; policy accept;

        # Для WireGuard что бы он шёл через второго провайдера
        udp dport 55625 ip daddr (ip адрес филиала) meta mark set 2
    }
}

table ip nat {
    chain postrouting {
        type nat hook postrouting priority srcnat; policy accept;
        oifname "ens20" masquerade
        oifname "ens19" masquerade
    }
}

Скрипт перелючение каналов

#!/bin/bash
#При пропадании канала у основного провайдера автоматически переключаемся
#на резервного и переодически проверяем наличие канала у первого
#провайдера. Как только интернет появляется у первого провайдера сразу
#переключаемся на него. Трафик идет по шлюзу с меньшей метрикой по этому
#меняем только метрику основного канала.

#GW1=IP_шлюза_основного_провайдера_первый_запуск metric 5
# ip route default via 10.10.10.1 dev ether1 metric 5
GW1=10.0.23.1

#GW2=IP_шлюза_резервного_провайдера_первый_запуск metric 10
# ip router default via 192.168.8.1 dev ether0 metric 10
GW2=10.0.17.1

# Interfaces
#iface..=основного_провайдера
iface1=ens19

#iface..=резервного_провайдера
iface2=ens20

# Удаленный адрес для проверки на доступность
srctest=8.8.8.8

ROUTESTR1=$(ip r  | grep "default via $GW1" )
ROUTESTR2=$(ip r  | grep "default via $GW2" )

if [ -z "$ROUTESTR1" ] || [ -z "$ROUTESTR2" ]; then
echo "${iface1}_metric=$DEFMETRIC1 ${iface2}_metric=$DEFMETRIC2"
echo "Метрика шлюза не определена, проверте наличие правильного роутинга 'ip r'"
exit 1
fi

# ${ROUTESTR1##*"metric "} - Удаление с начала строки, до последнего совпадения
DEFMETRIC1=$((${ROUTESTR1##*"metric "} | cut -f1 -d " "))
DEFMETRIC2=$((${ROUTESTR2##*"metric "} | cut -f1 -d " "))

# Пинг тест через сетевой интерфейс основного провайдера
result1=$(ping -c 3 -I $iface1 $srctest -W 1  2<&1 | grep -icE 'unknown|expired|unreachable|time out|100% packet loss')

if [ ${result1} != 0 ] && [ $DEFMETRIC1 -lt $DEFMETRIC2 ]; then
        echo "Перейти на резервный канал"
        #/sbin/ip route change default via $GW2
        /sbin/ip route del default via $GW1
        /sbin/ip route del default via $GW2
        /sbin/ip route add default via $GW1 metric 10
        /sbin/ip route add default via $GW2 metric 5
        ip route flush cache
        #/etc/init.d/bind restart >> /dev/null
        #service openvpn restart
fi

if [ ${result1} = 0 ] && [ $DEFMETRIC1 -gt $DEFMETRIC2 ]; then
        echo "Перейти на основной канал"
        /sbin/ip route del default via $GW1
        /sbin/ip route del default via $GW2
        /sbin/ip route add default via $GW1 metric 5
        /sbin/ip route add default via $GW2 metric 10
        ip route flush cache
fi

запускаем скрипт через cron раз в минуту crontab -e

* * * * * /usr/script/test_internet.sh

Дальше расмотрим такую схему сети что бы у нас филиалы продолжали работать при недоступности первого провайдера

Установка WireGuard

На всех узлах выполните:

sudo apt update && sudo apt install wireguard -y

Настройка WireGuard

Пример для Node1 соеденяется через isp1 (10.0.0.1/30):

# /etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.1/30
PrivateKey = <Node1_private_key>
ListenPort = 51820

[Peer]
PublicKey = <Node2_public_key>
AllowedIPs = 10.0.0.2/32
Endpoint = <Node2_public_IP>:51820
PersistentKeepalive = 25

Пример для соеденяется через isp1 Node2 (10.0.0.2/30):

# /etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.2/30
PrivateKey = <Node2_private_key>
ListenPort = 51820

[Peer]
PublicKey = <Node1_public_key>
AllowedIPs = 10.0.0.1/32
Endpoint = <Node1_public_IP_isp1>:51820
PersistentKeepalive = 25

Пример для Node1 соеденяется через isp2 (10.0.1.1/30):

# /etc/wireguard/wg1.conf
[Interface]
Address = 10.0.1.1/30
PrivateKey = <Node1_private_key>
ListenPort = 55625

[Peer]
PublicKey = <Node2_public_key>
AllowedIPs = 10.0.1.2/32
Endpoint = <Node2_public_IP>:55625
PersistentKeepalive = 25

Пример для соеденяется через isp2 Node2 (10.0.1.2/30):

# /etc/wireguard/wg1.conf
[Interface]
Address = 10.0.0.2/30
PrivateKey = <Node2_private_key>
ListenPort = 55625

[Peer]
PublicKey = <Node1_public_key>
AllowedIPs = 10.0.0.1/32
Endpoint = <Node1_public_IP_isp2>:55625
PersistentKeepalive = 25

Запуск WireGuard

На всех узлах:

sudo systemctl enable wg-quick@wg0
sudo systemctl start wg-quick@wg0

sudo systemctl enable wg-quick@wg1
sudo systemctl start wg-quick@wg1

Установка FRRouting (OSPF)

На всех узлах:

sudo apt install frr -y

Включите OSPF в /etc/frr/daemons:

ospfd=yes

Перезапустите FRR:

sudo systemctl restart frr

Настройка OSPF

Используйте vtysh для настройки OSPF.

Пример через провайдера isp1 для Node1:

vtysh

configure terminal
interface wg0
 ip ospf cost 1000
 ip ospf dead-interval 40
exit
router ospf
 network 10.0.0.0/24 area 0  # Туннельная сеть
 network <LAN_Node1_подсеть> area 0  # Например, 192.168.1.0/24
exit
exit
write

Пример через провайдера isp1 для Node2:

vtysh

configure terminal
interface wg0
 ip ospf cost 1000
 ip ospf dead-interval 40
exit
router ospf
 network 10.0.0.0/24 area 0  # Туннельная сеть
 network <LAN_Node2_подсеть> area 0  # Например, 192.168.2.0/24
exit
exit
write

Пример через провайдера isp2 для Node1:

vtysh

configure terminal
interface wg1
 ip ospf cost 2000
 ip ospf dead-interval 40
exit
router ospf
 network 10.0.0.0/24 area 0  # Туннельная сеть
 network <LAN_Node1_подсеть> area 0  # Например, 192.168.1.0/24
exit
exit
write

Пример через провайдера isp2 для Node2:

vtysh

configure terminal
interface wg1
 ip ospf cost 2000
 ip ospf dead-interval 40
exit
router ospf
 network 10.0.0.0/24 area 0  # Туннельная сеть
 network <LAN_Node2_подсеть> area 0  # Например, 192.168.2.0/24
exit
exit
write

Проверка OSPF

Проверьте соседей:

vtysh -c "show ip ospf neighbor"

Посмотрите таблицу маршрутизации:

vtysh -c "show ip route ospf"