LC 1711 - Load Balancing/Feste Kombination sourceIP<->

[heiko_s]

Hallo zusammen,
wie ich in einigen Beiträgen lesen konnte, haben viele hier das gleiche Problem beim LoadBalancing:
Foren (z.B. phpBB), Online Banking und VPN Verbindungen reagieren "allergisch" auf das wechseln der IP während einer Sitzung.
FTP Server trennen die Verbindung oder erreichen die maxLogin Anzahl.

Da man auf die Konfig von Fremdseiten i.d.R. keinen Einfluß hat, suche ich nach einer Lösung um den 1711 doch produktiv einsetzen zu können.

Unsere Konfig sieht wie folgt aus:
2x DSL16000 jeweils ein DSL-Router, jeweils ein transfer Subnet zum 1711. Dort sind die Strecken als PlainIP Wans eingetragen. Die Werte für die Leitungsgeschwindigkeit sind auch eingetragen.
Dahinter hängt ein Netz mit ~280 clients.

Gibt es keine Möglichkeit die o.g. Probleme irgendwie zu lösen?
(einzelne Dienste auf einen Port fest zu legen, macht wegen des gewünschten failovers leider keinen Sinn)

Kann der 1711 die Kombination aus sourceIP <-> destIP nicht einfach speichern und für eine gewisse, am Besten einstellbare Zeit, diese Kombination immer über die gleiche Leitung schicken? Damit würde man, wenn die Zeiteinstellung entsprechend lange wäre (~10min) einige Probleme abfangen.

Vielen Dank für eure Hilfe!

Gruß
Heiko

[backslash]

Hi heiko_s

Kann der 1711 die Kombination aus sourceIP <-> destIP nicht einfach speichern und für eine gewisse, am Besten einstellbare Zeit, diese Kombination immer über die gleiche Leitung schicken? Damit würde man, wenn die Zeiteinstellung entsprechend lange wäre (~10min) einige Probleme abfangen.

genau das aber widerspricht dem Sinn eines Load-Balancers...

So gehen z.B. Download-Manager wie im Firefox hin und laden eine große Datei in mehreren Häppchen vom ein und dem selben Server. Mit einem Loadbalancer hast du dann die doppelte Downloadrate. Wenn das LANCOM das so lösen würde, wie du es dir wünschst, bringt dir der Download-Manager nichts...

BTW: Bei FTP z.B. bleibt das LANCOM auf dem Kanal, auf dem auch die Kontrollvebindung aufgebaut wurde, damit der Server die Datenverbindung nicht kappt...

Es bleibt nunmal dabei, daß es ein Konfigurationsfehler des Webserverbetreibers ist, wenn er eine "Authentifizierung" über die IP-Adresse durchführt. HTTP ist nunmal zustandslos und wenn man da Zustände rein bringen will, dann muß das über die Mechanismen des HTTP erfolgen, also über Cookies und/oder Session-IDs in der URL

Gruß
Backslash

[gm]

Hi,

Es bleibt nunmal dabei, daß es ein Konfigurationsfehler des Webserverbetreibers ist, wenn er eine "Authentifizierung" über die IP-Adresse durchführt. HTTP ist nunmal zustandslos und wenn man da Zustände rein bringen will, dann muß das über die Mechanismen des HTTP erfolgen, also über Cookies und/oder Session-IDs in der URL

... dann ist aber das lancom-forum hier auch nicht richtig konfiguriert. Beim Schreiben von Antworten kommt es ab und an auch zu "komischen" Effekten wenn das Loadbalancing an ist.

@heiko_s:
Wenn es nur eine Handvoll Seiten bzw. gewisse IP-Ranges sind, die Probleme machen würde ich diese einfach manuell über Firewallregeln auf einen der Anschlüsse festnageln.
Klappt das bei dir eigentlich wenn eine IPoE-Verbindung wegbricht, dass alles über den anderen IPoE-Anschluss geht? Bei mir hatte das nicht so geklappt, aber vielleicht hatte ich einfach etwas nicht richtig eingestellt.

Gruß
gm

[heiko_s]

Hi backslash

Hi heiko_s
genau das aber widerspricht dem Sinn eines Load-Balancers...

Das sehe ich anders.

So gehen z.B. Download-Manager wie im Firefox hin und laden eine große Datei in mehreren Häppchen vom ein und dem selben Server. Mit einem Loadbalancer hast du dann die doppelte Downloadrate. Wenn das LANCOM das so lösen würde, wie du es dir wünschst, bringt dir der Download-Manager nichts...

Da hast du recht. Nur uns geht es um eine sinnvolle Verteilung der Last, nicht um die Erhöhung eines Anschlusses. In unserem Netz sind alle User in der Bandbreite beschränkt. Wir wollen nur erreichen das die Leitungen einigermassen gleichmässig ausgelastet sind.

BTW: Bei FTP z.B. bleibt das LANCOM auf dem Kanal, auf dem auch die Kontrollvebindung aufgebaut wurde, damit der Server die Datenverbindung nicht kappt...

Grau ist alle Theorie.. Da muß ich leider wiedersprechen.
Ich habe am WE versucht ein CMS zu aktualisieren. LeechFTP ist dabei zum einsatz gekommen. Aktives FTP war eingeschaltet. Der Server hat mich, obwohl 10 Verbindungen zugelassen waren, immer wieder nach ca. 3-4 Dateien raus geworfen.
Nach abschalten des LB konnte ich problemlos auch 200 Dateien am Stück hochladen.
Es scheint also doch zu einem Kanalwechsel gekommen zu sein.

Es bleibt nunmal dabei, daß es ein Konfigurationsfehler des Webserverbetreibers ist, wenn er eine "Authentifizierung" über die IP-Adresse durchführt. HTTP ist nunmal zustandslos und wenn man da Zustände rein bringen will, dann muß das über die Mechanismen des HTTP erfolgen, also über Cookies und/oder Session-IDs in der URL
Gruß
Backslash

Da gebe ich Dir voll und ganz recht - das ist auch ein Problem. Leider ein weit verbreitetes.

Gruß
Heiko

[heiko_s]

HiHo,

.. dann ist aber das lancom-forum hier auch nicht richtig konfiguriert. Beim Schreiben von Antworten kommt es ab und an auch zu "komischen" Effekten wenn das Loadbalancing an ist.

Da auch dieses Forum auf phpBB basiert und die keine Möglichkeit anbieten die Session anderes als über die IP zu verifizieren, ist auch diese Seite betroffen.

@heiko_s:
Wenn es nur eine Handvoll Seiten bzw. gewisse IP-Ranges sind, die Probleme machen würde ich diese einfach manuell über Firewallregeln auf einen der Anschlüsse festnageln.
Klappt das bei dir eigentlich wenn eine IPoE-Verbindung wegbricht, dass alles über den anderen IPoE-Anschluss geht? Bei mir hatte das nicht so geklappt, aber vielleicht hatte ich einfach etwas nicht richtig eingestellt.
Gruß
gm

Bei uns hängen im moment ~270 User dran. Ich gehe mal davon aus, dass es mehr als nur eine Handvoll Seiten sind. Wir testen den LB im moment zu dritt und haben ~10 Seiten die Probleme machen. Der manuelle Pflegeaufwand ist damit viel zu hoch.
Wenn sich hier keine Lösung finden lässt, werden wir den Lancom wohl wieder zurück schicken und die IP's manuell von Hand auf die Leitungen aufteilen.

Danke für die Infos

Gruß
Heiko

[Jirka]

Hallo gm,

Klappt das bei dir eigentlich wenn eine IPoE-Verbindung wegbricht, dass alles über den anderen IPoE-Anschluss geht? Bei mir hatte das nicht so geklappt, aber vielleicht hatte ich einfach etwas nicht richtig eingestellt.

hattest Du seinerzeit entsprechende Einträge in der Polling-Tabelle, so dass der LANCOM-Router es auch mitbekommt, wenn die Leitung nicht mehr verfügbar ist?

Viele Grüße,
Jirka

[gm]

Hi Jirka,

stimmt, hatte in der Polling-Tabelle die Einträge nicht drin. Ups.
Besten Dank für den Tip.

Gruß
gm