Резервирование каналов связи: Часть 3 — Между офисами: VPN, MPLS, тёмное волокно и SD-WAN

Когда у компании несколько офисов, складов или магазинов, им нужна связь между собой: общая учётная система, файловый сервер, телефония, видеонаблюдение. Если филиал теряет связь с центральным офисом, он часто не может работать вообще. Способов связать площадки несколько, и они по-разному защищены от отказов.

Способы связать офисы

VPN через интернет

Самый распространённый и дешёвый вариант: каждый офис подключён к интернету, а между площадками поднят шифрованный туннель.

• IPsec — стандартный протокол, который поддерживают практически все маршрутизаторы и межсетевые экраны. Подходит, когда на площадках оборудование разных производителей.
• WireGuard — более простой в настройке протокол с небольшим объёмом кода, встроенный в ядро Linux и поддерживаемый, например, MikroTik RouterOS 7.

Минимальная конфигурация WireGuard для туннеля между офисом A (сеть 10.1.0.0/24) и офисом B (сеть 10.2.0.0/24), сторона A:

[Interface]
Address = 10.255.0.1/30
ListenPort = 51820
PrivateKey = <закрытый ключ офиса A>

[Peer]
PublicKey = <открытый ключ офиса B>
Endpoint = 198.51.100.20:51820
AllowedIPs = 10.255.0.2/32, 10.2.0.0/24
PersistentKeepalive = 25

На стороне B конфигурация зеркальная. На обоих шлюзах должна быть включена пересылка пакетов (net.ipv4.ip_forward = 1), а межсетевой экран — пропускать трафик между локальной сетью и туннелем.

Сам по себе VPN-туннель не резервирован: он зависит от интернет-каналов обеих площадок. Отказоустойчивость дают два туннеля через разных провайдеров и механизм, который выбирает рабочий.

MPLS L3VPN у оператора

Оператор связи строит для компании изолированную виртуальную сеть на своей инфраструктуре. Технология описана в RFC 4364 (BGP/MPLS IP VPN). Для клиента это выглядит как общая сеть между офисами: маршрутизацию внутри неё выполняет оператор, клиент передаёт ему свои маршруты или просто указывает, какие сети где находятся.

Плюсы: предсказуемые задержки, договор с гарантированной доступностью, трафик не идёт через публичный интернет. Минусы: это дороже VPN через интернет, подключение долго согласуется, а вся сеть зависит от одного оператора. Для резерва MPLS часто дополняют VPN-туннелем через интернет другого провайдера.

Тёмное волокно

Компания арендует оптическое волокно целиком и сама ставит оборудование на обоих концах. Это даёт высокую скорость и полный контроль, но доступно только там, где есть свободные волокна: обычно в пределах города или между соседними зданиями. Одно волокно — одна трасса, поэтому для надёжности нужна вторая линия по другому маршруту или резервный VPN.

SD-WAN

SD-WAN — это управляющий слой поверх нескольких каналов: интернета, MPLS, мобильной связи. Устройства на площадках постоянно измеряют задержки, потери и доступность каждого канала, а центральная консоль задаёт правила: телефонию — по каналу с наименьшими задержками, резервное копирование — по самому дешёвому. Решения SD-WAN в основном коммерческие и требуют оборудования одного производителя на всех площадках. Для сетей из двух-трёх офисов обычно достаточно двух VPN-туннелей и динамической маршрутизации.

Как переключаться между каналами

Иметь два туннеля мало: маршрутизатор должен понять, что один из них не работает, и перевести трафик.

• Проверки доступности и статические маршруты. Маршрутизатор проверяет адрес на другой стороне туннеля и при отказе убирает маршрут через него. Просто, но при большом числе сетей настройка разрастается.
• Динамическая маршрутизация (OSPF или BGP) поверх туннелей. Маршрутизаторы сами обмениваются маршрутами и выбирают доступный путь. Это масштабируется лучше: добавление сети в одном офисе автоматически становится известно остальным. Практические примеры — «BGP на Keenetic через Entware и FRR» и «BGP и OSPF на Keenetic».

При двух провайдерах на площадке есть ещё одна тонкость: ответ на входящее соединение должен уйти через того же провайдера, через которого пришёл запрос, иначе соединение не установится. Как это настроить, разобрано в статье «MikroTik: возврат трафика через тот же шлюз, которым он пришёл».

Резервирование самого шлюза: VRRP

Если в офисе один маршрутизатор, его отказ отключает площадку независимо от числа каналов. Решение — два маршрутизатора и общий виртуальный адрес шлюза, который компьютеры офиса используют по умолчанию.

• VRRP — открытый стандарт. Актуальная версия, VRRP версии 3, описана в RFC 9568 (апрель 2024 года) и работает с IPv4 и IPv6. Маршрутизаторы выбирают основной; если он перестаёт отправлять объявления (по умолчанию раз в секунду), виртуальный адрес переходит к резервному.
• HSRP — аналогичный протокол Cisco, работающий только на её оборудовании.

VRRP поддерживают MikroTik, большинство корпоративных маршрутизаторов и Linux (keepalived). Когда нужна связность второго уровня между двумя MikroTik и где вместо VRRP подойдут другие схемы, показано в статье «Виртуальный адрес между двумя MikroTik».

Что проверить при построении

• Каналы в каждом офисе действительно независимы: разные провайдеры, по возможности разные трассы и технологии.
• Маршрутизатор офиса не единственная точка отказа: есть второй с VRRP или хотя бы запасной с готовой конфигурацией.
• Время переключения известно и приемлемо для телефонии и учётной системы.
• Отказы туннелей попадают в мониторинг, а не обнаруживаются жалобами пользователей.

Типичные ошибки

• Два туннеля через одного провайдера. При его аварии пропадают оба.
• Одинаковые адресные пространства в офисах (например, 192.168.1.0/24 везде). При объединении сетей приходится перенумеровывать или строить трансляцию адресов.
• Туннель без проверки живости. Интерфейс WireGuard формально поднят, а трафик не идёт. Без проверок и динамической маршрутизации маршрутизатор об этом не узнает.
• MPLS без резерва в уверенности, что «оператор гарантирует». Договор даёт компенсацию, а не связь во время аварии.