VRRP mit 5 WAN-Verbindungen über 802.1q

[hoppel118]

Hallo Miteinander,

wir versuchen uns schon länger daran einen VRRP-Verbund erfolgreich in Betrieb zu nehmen. Leider kommt es immer wieder zu Instabilitäten mit unserer Konfiguration auf die ich hier eingehen möchte.

Setup

2x 8011 mit Firmware 8.000162Rel
Beide Router werden über LAN1 (ETH1) und DSL1 (WAN) anhand eines 802.1q-Trunk mit einen CISCO-3560-Switch (entsprechende VLAN- und Trunk-Konfiguration vorhanden) verbunden.

5 IPOE WAN Verbindungen die mit VLAN Tags (10-14) über den Trunk auf DSL1 reinkommen
5 LAN Netze die mit anderen VLAN Tags über den Trunk auf LAN1 reinkommen

Alle LAN Netze haben eine VRRP IP, LANseitig scheint auch alles sauber über die virtuelle IP zu funktionieren, ein System geht in Standby und das andere ist Master.

Alle WAN Verbindungen haben auf beiden Systemen eine je Gegenstelle definierte MAC 00-00-5E-00-XX-00 und werden gepollt auf die lokale IP des jeweiligen SDSL Routers.

Die 8011er terminieren viele eingehende Tunnel aber es werden auch mehrere IPSec Tunnel zu anderen Unternehmen unsererseits aufgebaut. Dieses Verbindungen werden normalerweise durch uns gepollt und permanent aufrechterhalten.

Uns geht es primär darum, dass im Backupfall auch die WAN Verbindungen sauber von dem Standby System übernommen werden, dann die ausgehenden Tunnel direkt aufgebaut werden und dass bis dahin keine Aktivität / Beeinflussung seitens des Standby Systems auf den WAN Strecken erfolgt bzw auch keine ausgehenden Verbindungen darüber aufgebaut werden.

Da die Systeme gleich konfiguriert sind (bis auf die direkten LAN IP's und VRRP Prio) ist natürlich auch das Polling der WAN Verbindungen und VPN Tunnel auf beiden Systemen aktiviert. (Ein Polling ist auch erforderlich..!)

Problemlage

1.
Sobald ein Polling auf den VPN Verbindungen aktiv ist werden diese Verbindungen auch seitens des Standbys direkt aufgebaut und damit der Tunnel auf dem Master getrennt. Welcher wiederum versucht den Tunnel wieder herzustellen usw..

2. (Wenn das Polling der VPN Verbindungen deaktiviert ist)
Das Standby System baut auch schon nur die WAN Verbindungen (vermutlich wegen des WAN Pollings) auf und zeigt diese als aktiv im LANMonitor an. Hierdurch kommt es wohl auf genutzten IPOE Verbindungen zu Paketverlusten und Verbindungsproblemen zu Hosts.
Wir haben instabile Verbindungen solange das Standbysystem in Betrieb ist.

Habt ihr Ideen/Vorschläge wie wir das sauber zum Laufen bekommen?

Viele Grüße