VRRP auch auf INTERNET Schnittstelle benötigt

[flugfaust]

Hallo,
ich habe bei zwei Lancom 7100+ VPN VRRP einzurichten. Auf der INTRANET Seite ist dies kein Problem. Jedoch haben wir die Konstellation, dass ein Firewall Cluster vor den VPN Gateways geschalten ist und die IP Adressen der INTERNET Schnittstelle des LANCOM 7100+ VPN eine Private IP Adresse im Transfer Netz der Firewalls ist.
IPSec wird via NAT-T vom FirewallCluster auf das Lancom 7100+ VPN geforwardet. Die VPN Tunnel funktionieren bis hierher ohne Probleme. Nun soll das zweite Lancom 7100+ VPN Gateway implementiert werden. Nun weiß ich nicnt, wie ich die Rednundanz auf dem INTERNET Interface herstellen soll. NAT-T macht das Forwarding auf die eine Private IP Adresse des VPN Gateways. Kann ich VRRP auch auf dem INTERNET Interface einrichten?

DANKE

[backslash]

Hi flugfaust,

ich habe bei zwei Lancom 7100+ VPN VRRP einzurichten. Auf der INTRANET Seite ist dies kein Problem. Jedoch haben wir die Konstellation, dass ein Firewall Cluster vor den VPN Gateways geschalten ist und die IP Adressen der INTERNET Schnittstelle des LANCOM 7100+ VPN eine Private IP Adresse im Transfer Netz der Firewalls ist.

d.h. die Internet-Verbindung ist eine "Plain-Ethernet" Verbindung (WAN-Layer IPOE) mit fester IP-Adresse?

IPSec wird via NAT-T vom FirewallCluster auf das Lancom 7100+ VPN geforwardet. Die VPN Tunnel funktionieren bis hierher ohne Probleme. Nun soll das zweite Lancom 7100+ VPN Gateway implementiert werden. Nun weiß ich nicnt, wie ich die Rednundanz auf dem INTERNET Interface herstellen soll. NAT-T macht das Forwarding auf die eine Private IP Adresse des VPN Gateways. Kann ich VRRP auch auf dem INTERNET Interface einrichten?

Du mußt dazu den Slave WAN-Seitig genau so einrichten, wie den Master, d.h. der Slave bekommt die gleiche IP-Adresse wie der Master und noch wichtiger: die selbe MAC-Adresse. Dazu stellst du bei Master und Slave unter Kommunikation -> Gegenstellen -> Gegstellen (DSL) -> INTERNET den MAC-Adresstyp auf "Benutzerdefiniert" und trägst darunter bei beiden Geräten die selbe MAC-Adresse ein

Jetzt mußt du nur noch darauf achten, daß die Internet-Verbindung nur aufgebaut wird, solange die Geräte auch VRRP-Master sind und abgebaut werden, sobald ein Gerät Slave wird. Dazu verknüpfst du die virtuellen Router auf beiden Geräten unter IP-Router -> VRRP -> VRRP-Liste mit der Gegenstelle INTERNET.

Gruß
Backslash

[flugfaust]

Klappt einwandfrei. MEGA DANKE