MikroTik Dual-WAN failover za ISP-je

Povzetek MikroTik dual-WAN failover ohranja lokacijo na spletu tako, da samodejno premakne promet na rezervno povezavo, ko primarna povezava odpove. RouterOS vam daje tri gradnike — rekurzivno usmerjanje s check-gateway, Netwatch in NAT na WAN — in prava kombinacija je odvisna od tega, kako hitra in kako pametna mora biti vaša zaznava. Za ISP flote težji problem ni izrezek konfiguracije, ampak potrditev čez stotine oddaljenih lokacij za CGNAT, da je failover res deloval. Ta vodnik pokriva oboje.

Kaj je MikroTik Dual-WAN failover?

MikroTik dual-WAN failover je konfiguracija RouterOS, ki usmerjevalniku daje dve internetni povezavi — primarno in rezervno — in samodejno premakne promet na rezervno, ko primarna preneha prepuščati pakete, nato pa ga premakne nazaj, ko si opomore. To ni isto kot uravnoteženje obremenitve: failover ohranja eno povezavo v mirovanju kot zavarovanje, medtem ko uravnoteženje obremenitve razprši promet čez obe. Cilj je neprekinjenost, ne dodatna pasovna širina, zato je to privzeti vzorec redundance za lokacije, ki preprosto ne smejo otemneti.

Mehanizem temelji na izbiri poti. RouterOS izbere aktivno privzeto pot po najnižji administrativni razdalji, zato primarni dodelite manjšo razdaljo, rezervnemu pa večjo. Celotna zasnova se nato zoži na eno vprašanje: kako usmerjevalnik odloči, da je primarni nedosegljiv, in zniža njegovo pot? Sprejmite to odločitev pravilno — dovolj hitro, a ne preveč živčno — in failover je zanesljiv. Naredite napačno in bodisi preklopite prepočasi bodisi nihate med povezavama ob vsaki izgubi paketa.

Korak 1 — Popišite obe WAN, preden se dotaknete poti

Začnite z zapisom, kaj vsaka povezava dejansko je. Fiksna optična ali PPPoE primarna povezava s statičnim ali prek PPP dodeljenim prehodom se obnaša drugače kot Starlink ali LTE rezerva, ki sedi za Carrier-Grade NAT in vam podeli dinamičen naslov. To je pomembno, ker rekurzivno usmerjanje deluje samo s stabilnimi IP prehodi, ne z dinamičnimi tipi vmesnikov, kot sta PPPoE ali DHCP, kjer se naslov lahko spremeni (MikroTik dokumentacija — Failover (WAN Backup)). Odločite, katera povezava je primarna, katera rezervna in ali katera ob ponovni povezavi spremeni svoj IP — to eno dejstvo narekuje, katero metodo zaznave lahko uporabite.

Korak 2 — Dodajte rekurzivne privzete poti s check-gateway

Klasični pristop uporablja rekurzivno usmerjanje: namesto da privzeto pot usmerite neposredno na naslednji skok, jo usmerite na sondni cilj (na primer znan javni razreševalnik) in dodate statično pot, ki RouterOS pove, naj ta cilj doseže samo prek določenega WAN prehoda. Nato ustvarite dve privzeti poti, rekurzivno razrešeni prek teh ciljev — primarno z manjšo razdaljo in omogočenim check-gateway=ping, rezervno z večjo razdaljo (Scoop — Basic ISP Failover with MikroTik).

Vedenje, okoli katerega je treba načrtovati, je časovanje. Check-gateway deaktivira pot po dveh zaporednih neuspelih preverjanjih, preverjanja pa tečejo približno vsakih 10 sekund, tako da resnični preklop pristane okoli 20 do 30 sekund — in se ne odziva na občasno izgubo paketov, le na popolnoma mrtev prehod (MikroTik dokumentacija — Failover (WAN Backup)). Za mnoge ISP lokacije strank je to sprejemljivo. Za glasovne ali plačilne terminale pogosto ni, in tu nastopi Korak 4.

Korak 3 — Nastavite NAT za obe povezavi

Dual-WAN usmerjevalnik potrebuje ločeno pravilo masquerade (ali src-nat) na vsak WAN vmesnik, da katerakoli aktivna povezava pravilno prevaja izhodni promet; eno samo pravilo, vezano na en vmesnik, tiho prekine povezljivost v trenutku, ko failover premakne promet na drugo povezavo. Dodajte eno pravilo masquerade v verigi srcnat za primarni out-interface in drugo za rezervnega. Če objavite kakršne koli vhodne storitve, ne pozabite, da pravila dst-nat, vezana na naslov primarnega, prenehajo delovati, ko ta povezava — in njen javni IP — izgine. Ta vhodna krhkost je ista arhitekturna past, obravnavana v našem primeru sprememb IP Starlink, in zato se izhodno zasidran dostop bolje skalira kot posredovanje vrat. Za osnove NAT si oglejte naš vodnik za nastavitev NAT na MikroTik.

Korak 4 — Uporabite Netwatch, ko potrebujete hitrejšo ali pametnejšo zaznavo

Ko je 20–30 sekund prepočasi ali se morate odzvati na poslabšane-a-žive povezave, je Netwatch prožnejše orodje. V RouterOS v7 je Netwatch dobil parameter type, ki lahko sondira z icmp, tcp-conn, http-get, https-get ali simple, in nastavite lahko svoj interval preverjanja, namesto da živite s fiksno kadenco check-gateway (MikroTik dokumentacija — Failover (WAN Backup)). Vsak gostitelj ima skript up in down, tako da lahko ob prehodu onemogočite primarno privzeto pot, sprožite opozorilo ali zabeležite dogodek.

Mnogi operaterji združujejo oboje: rekurzivno usmerjanje obvladuje čisto smrt povezave, medtem ko Netwatch pokriva bolj zmedene primere in pošilja obvestila. Dolgotrajna razprava skupnosti razpravlja prav o tem kompromisu in je vredna branja, preden standardizirate eno metodo čez floto (MikroTik forum — netwatch instead of recursive routing). Karkoli izberete, naj bo konfiguracija na vsaki lokaciji enaka — flota po meri izdelanih failover skriptov je sama po sebi izpad, ki le čaka, da se zgodi.

Korak 5 — Preverite failover na vsaki oddaljeni lokaciji

Tukaj je del, ki ga konfiguracijski vodniki preskočijo. Dodajanje poti na enem laboratorijskem usmerjevalniku je preprosto; dokazati, da failover deluje na stotinah nameščenih CPE-jev, je pravi ISP problem — in postane težje, ko je rezervna povezava Starlink ali LTE za CGNAT, ker naprava po preklopu pogosto nima dosegljivega javnega IP za upravljanje. Če lahko failover potrdite le tako, da čakate, da stranka pokliče, dejansko nimate failoverja; imate skript, za katerega upate, da teče.

Tu centralizirano upravljanje spremeni ekonomiko. MKController ohranja vsak usmerjevalnik dosegljiv prek overjenega izhodnega tunela, tako da lahko potrdite, da rezervna pot nosi promet, opazujete prehod failoverja v nadzoru in potisnete popravljeno konfiguracijo — brez odvisnosti od javnega IP, ki na rezervni povezavi morda ne obstaja. To združite s telemetrijo: naša vodnika o oddaljenem nadzoru MikroTik z Zabbix in SNMP nadzoru za MikroTik prikazujeta, kako opozarjati na sam dogodek failoverja, da tih preklop na drago rezervno povezavo nikoli ne ostane neopažen.

Nasveti

• Sondo check-gateway rezervne povezave usmerite na cilj, ki ga dosežete prek te povezave, ne prek primarne, sicer je vaš test brez pomena.
• Označite prehode failoverja v svojem nadzoru, da lokacija, ki več dni teče na svoji rezervni povezavi, sproži zahtevek — failover, ki ga nihče ne opazi, je ponavljajoč se strošek, ne rešitev.
• Preizkusite pravi kabel, ne le poti: izvlecite konektor primarne in izmerite resnični preklop.

Postavite failover pod eno upravljalno ravnino

Dual-WAN failover na enem MikroTiku je rešen problem. Zanesljivo izvajanje čez floto — z dosledno konfiguracijo in zmožnostjo dokazati, da rezerva deluje na usmerjevalniku, ki ga ne dosežete prek javnega IP — je točka, kjer večina operaterjev izgublja denar. Centralizirano, izhodno zasidrano upravljanje to vrzel zapre.

Začnite svojo brezplačno preizkusno različico MKController