MikroTik dual-WAN failover για ISP

Σύνοψη Το MikroTik dual-WAN failover κρατά μια τοποθεσία online μετακινώντας αυτόματα την κίνηση σε μια εφεδρική σύνδεση όταν η κύρια σύνδεση αποτυγχάνει. Το RouterOS σας δίνει τρία δομικά στοιχεία — αναδρομική δρομολόγηση με check-gateway, Netwatch και NAT ανά WAN — και ο σωστός συνδυασμός εξαρτάται από το πόσο γρήγορη και πόσο έξυπνη πρέπει να είναι η ανίχνευσή σας. Για στόλους ISP, το δυσκολότερο πρόβλημα δεν είναι το απόσπασμα ρύθμισης, αλλά η επιβεβαίωση, σε εκατοντάδες απομακρυσμένες τοποθεσίες πίσω από CGNAT, ότι το failover πράγματι λειτούργησε. Αυτός ο οδηγός καλύπτει και τα δύο.

Τι Είναι το MikroTik dual-WAN failover;

Το MikroTik dual-WAN failover είναι μια ρύθμιση RouterOS που δίνει σε έναν δρομολογητή δύο συνδέσεις διαδικτύου — μία κύρια και μία εφεδρική — και μετακινεί αυτόματα την κίνηση στην εφεδρική όταν η κύρια σταματά να περνά πακέτα, και κατόπιν τη μετακινεί πίσω όταν αυτή ανακάμψει. Δεν είναι το ίδιο με την εξισορρόπηση φορτίου: το failover κρατά μια σύνδεση αδρανή ως ασφάλεια, ενώ η εξισορρόπηση φορτίου κατανέμει την κίνηση και στις δύο. Ο στόχος είναι η συνέχεια, όχι επιπλέον εύρος ζώνης, και γι’ αυτό είναι το προεπιλεγμένο μοτίβο πλεονασμού για τοποθεσίες που απλώς δεν μπορούν να μείνουν στο σκοτάδι.

Ο μηχανισμός στηρίζεται στην επιλογή διαδρομής. Το RouterOS επιλέγει την ενεργή προεπιλεγμένη διαδρομή με βάση τη χαμηλότερη διοικητική απόσταση, οπότε δίνετε στην κύρια μικρότερη απόσταση και στην εφεδρική μεγαλύτερη. Όλος ο σχεδιασμός τότε ανάγεται σε ένα ερώτημα: πώς αποφασίζει ο δρομολογητής ότι η κύρια είναι «κάτω» και υποβαθμίζει τη διαδρομή της; Πάρτε αυτή την απόφαση σωστά — αρκετά γρήγορα, αλλά όχι νευρικά — και το failover είναι αξιόπιστο. Κάντε το λάθος και είτε εναλλάσσεστε πολύ αργά είτε αναβοσβήνετε μεταξύ συνδέσεων σε κάθε χαμένο πακέτο.

Βήμα 1 — Χαρτογραφήστε τα δύο WAN πριν αγγίξετε διαδρομή

Ξεκινήστε γράφοντας τι είναι πραγματικά η κάθε σύνδεση. Μια σταθερή κύρια οπτικής ίνας ή PPPoE με στατική ή εκχωρημένη μέσω PPP πύλη συμπεριφέρεται διαφορετικά από μια εφεδρική Starlink ή LTE που βρίσκεται πίσω από Carrier-Grade NAT και σας δίνει δυναμική διεύθυνση. Αυτό έχει σημασία επειδή η αναδρομική δρομολόγηση λειτουργεί μόνο με σταθερές πύλες IP, όχι με δυναμικούς τύπους interface όπως PPPoE ή DHCP όπου η διεύθυνση μπορεί να αλλάξει (Τεκμηρίωση MikroTik — Failover (WAN Backup)). Αποφασίστε ποια σύνδεση είναι κύρια, ποια εφεδρική, και αν κάποια αλλάζει την IP της κατά την επανασύνδεση — αυτό το μοναδικό γεγονός υπαγορεύει ποια μέθοδο ανίχνευσης μπορείτε να χρησιμοποιήσετε.

Βήμα 2 — Προσθέστε αναδρομικές προεπιλεγμένες διαδρομές με check-gateway

Η κλασική προσέγγιση χρησιμοποιεί αναδρομική δρομολόγηση: αντί να κατευθύνετε την προεπιλεγμένη διαδρομή απευθείας σε έναν επόμενο κόμβο, την κατευθύνετε σε έναν στόχο probe (για παράδειγμα έναν γνωστό δημόσιο resolver) και προσθέτετε μια στατική διαδρομή που λέει στο RouterOS να φτάνει αυτόν τον στόχο μόνο μέσω συγκεκριμένης πύλης WAN. Στη συνέχεια δημιουργείτε δύο προεπιλεγμένες διαδρομές που επιλύονται αναδρομικά μέσω αυτών των στόχων — την κύρια με μικρότερη απόσταση και ενεργοποιημένο check-gateway=ping, την εφεδρική με μεγαλύτερη απόσταση (Scoop — Basic ISP Failover with MikroTik).

Η συμπεριφορά γύρω από την οποία πρέπει να σχεδιάσετε είναι ο χρονισμός. Το check-gateway απενεργοποιεί μια διαδρομή μετά από δύο διαδοχικούς αποτυχημένους ελέγχους, και οι έλεγχοι εκτελούνται περίπου κάθε 10 δευτερόλεπτα, οπότε η πραγματική εναλλαγή πέφτει γύρω στα 20 με 30 δευτερόλεπτα — και δεν αντιδρά σε διακοπτόμενη απώλεια πακέτων, μόνο σε μια εντελώς νεκρή πύλη (Τεκμηρίωση MikroTik — Failover (WAN Backup)). Για πολλές τοποθεσίες πελατών ISP αυτό είναι αποδεκτό. Για τερματικά φωνής ή πληρωμών συχνά όχι, και εκεί έρχεται το Βήμα 4.

Βήμα 3 — Ρυθμίστε NAT και για τις δύο συνδέσεις

Ένας δρομολογητής dual-WAN χρειάζεται ξεχωριστό κανόνα masquerade (ή src-nat) ανά WAN interface ώστε όποια σύνδεση είναι ενεργή να μεταφράζει σωστά την εξερχόμενη κίνηση· ένας μόνο κανόνας δεμένος σε ένα interface θα σπάσει σιωπηλά τη συνδεσιμότητα τη στιγμή που το failover μετακινήσει την κίνηση στην άλλη σύνδεση. Προσθέστε έναν κανόνα masquerade στην αλυσίδα srcnat για το κύριο out-interface και έναν δεύτερο για την εφεδρική. Αν δημοσιεύετε εισερχόμενες υπηρεσίες, θυμηθείτε ότι οι κανόνες dst-nat που είναι δεμένοι στη διεύθυνση της κύριας σταματούν να λειτουργούν μόλις αυτή η σύνδεση — και η δημόσια IP της — εξαφανιστεί. Αυτή η εισερχόμενη ευθραυστότητα είναι η ίδια αρχιτεκτονική παγίδα που καλύπτεται στην περίπτωση αλλαγών IP στο Starlink, και γι’ αυτό η εξερχόμενα αγκυρωμένη πρόσβαση κλιμακώνεται καλύτερα από την προώθηση θυρών. Για τα θεμελιώδη του NAT, δείτε τον οδηγό μας για ρύθμιση NAT στο MikroTik.

Βήμα 4 — Χρησιμοποιήστε Netwatch όταν χρειάζεστε ταχύτερη ή εξυπνότερη ανίχνευση

Όταν τα 20–30 δευτερόλεπτα είναι πολύ αργά ή πρέπει να ενεργήσετε σε υποβαθμισμένες-αλλά-ζωντανές συνδέσεις, το Netwatch είναι το πιο ευέλικτο εργαλείο. Στο RouterOS v7, το Netwatch απέκτησε μια παράμετρο type που μπορεί να κάνει probe με icmp, tcp-conn, http-get, https-get ή simple, και μπορείτε να ορίσετε το δικό σας διάστημα ελέγχου αντί να ζείτε με τον σταθερό ρυθμό του check-gateway (Τεκμηρίωση MikroTik — Failover (WAN Backup)). Κάθε host έχει ένα σενάριο up και ένα down, ώστε στη μετάβαση να μπορείτε να απενεργοποιήσετε την κύρια προεπιλεγμένη διαδρομή, να εγείρετε ειδοποίηση ή να καταγράψετε το συμβάν.

Πολλοί διαχειριστές συνδυάζουν τα δύο: η αναδρομική δρομολόγηση χειρίζεται τον καθαρό θάνατο της σύνδεσης, ενώ το Netwatch καλύπτει τις πιο ακατάστατες περιπτώσεις και στέλνει ειδοποιήσεις. Ένα μακροχρόνιο νήμα της κοινότητας συζητά ακριβώς αυτόν τον συμβιβασμό και αξίζει να διαβαστεί πριν τυποποιήσετε μία μέθοδο σε έναν στόλο (Φόρουμ MikroTik — netwatch instead of recursive routing). Ό,τι κι αν επιλέξετε, κρατήστε τη ρύθμιση πανομοιότυπη σε κάθε τοποθεσία — ένας στόλος προσαρμοσμένων σεναρίων failover είναι από μόνος του μια διακοπή που απλώς περιμένει να συμβεί.

Βήμα 5 — Επαληθεύστε το failover σε κάθε απομακρυσμένη τοποθεσία

Εδώ είναι το μέρος που τα tutorials ρύθμισης παραλείπουν. Το να προσθέσετε τις διαδρομές σε έναν δρομολογητή πάγκου είναι εύκολο· το να αποδείξετε ότι το failover λειτουργεί σε εκατοντάδες αναπτυγμένα CPE είναι το πραγματικό πρόβλημα του ISP — και γίνεται δυσκολότερο όταν η εφεδρική σύνδεση είναι Starlink ή LTE πίσω από CGNAT, επειδή η συσκευή συχνά δεν έχει προσβάσιμη δημόσια IP μέσω της οποίας να τη διαχειριστείτε αφού κάνει εναλλαγή. Αν μπορείτε να επιβεβαιώσετε το failover μόνο περιμένοντας να τηλεφωνήσει ένας πελάτης, δεν έχετε πραγματικά failover· έχετε ένα σενάριο που ελπίζετε ότι τρέχει.

Εδώ η κεντρικοποιημένη διαχείριση αλλάζει την οικονομία. Το MKController κρατά κάθε δρομολογητή προσβάσιμο μέσω ενός πιστοποιημένου εξερχόμενου τούνελ, ώστε να μπορείτε να επιβεβαιώσετε ότι η εφεδρική διαδρομή μεταφέρει κίνηση, να παρακολουθήσετε τη μετάβαση failover στην παρακολούθηση και να προωθήσετε μια διορθωμένη ρύθμιση — χωρίς να εξαρτάστε από μια δημόσια IP που μπορεί να μην υπάρχει στην εφεδρική σύνδεση. Συνδυάστε το με τηλεμετρία: οι οδηγοί μας για απομακρυσμένη παρακολούθηση του MikroTik με Zabbix και παρακολούθηση SNMP για MikroTik δείχνουν πώς να ειδοποιείτε για το ίδιο το συμβάν failover, ώστε μια σιωπηλή εναλλαγή στην ακριβή εφεδρική σύνδεση να μην περνά ποτέ απαρατήρητη.

Συμβουλές

• Κρατήστε το probe check-gateway της εφεδρικής σύνδεσης στραμμένο σε έναν στόχο που φτάνετε μέσω αυτής της σύνδεσης, όχι μέσω της κύριας, αλλιώς ο έλεγχός σας δεν έχει νόημα.
• Σημειώστε τις μεταβάσεις failover στην παρακολούθησή σας ώστε μια τοποθεσία που τρέχει για μέρες στην εφεδρική της σύνδεση να εγείρει ένα ticket — ένα failover που κανείς δεν προσέχει είναι επαναλαμβανόμενο κόστος, όχι σωτηρία.
• Δοκιμάστε το πραγματικό καλώδιο, όχι μόνο τη διαδρομή: τραβήξτε τον συνδετήρα της κύριας και χρονομετρήστε την πραγματική εναλλαγή.

Φέρτε το failover κάτω από ένα επίπεδο ελέγχου

Το dual-WAN failover σε ένα μεμονωμένο MikroTik είναι λυμένο πρόβλημα. Το να το κάνετε αξιόπιστα σε έναν στόλο — με συνεπή ρύθμιση και την ικανότητα να αποδείξετε ότι η εφεδρική λειτουργεί σε έναν δρομολογητή που δεν μπορείτε να φτάσετε μέσω δημόσιας IP — είναι εκεί που οι περισσότεροι διαχειριστές χάνουν χρήματα. Η κεντρικοποιημένη, εξερχόμενα αγκυρωμένη διαχείριση κλείνει αυτό το κενό.

Ξεκινήστε τη δωρεάν δοκιμή σας στο MKController