English · Ελληνικά
Δύο ISP είναι εύκολο. Δύο ISP που κάνουν failover καθαρά, δεν διαρρέουν transit, κρατάνε τις ίδιες δημόσιες IP, και βάζουν το NAT εκεί που ανήκει — αυτό είναι αρχιτεκτονική. Αυτός είναι ο σχεδιασμός ενός ανθεκτικού internet edge για μια επιχείρηση, WISP, ή οργανισμό πολλαπλών sites, από την ιδιοκτησία διευθύνσεων μέχρι την τοποθέτηση CGNAT.
Το edge είναι εκεί που το δίκτυό σου συναντά το internet, και οι σχεδιαστικές του αποφάσεις είναι αυτές που δεν αλλάζεις εύκολα αργότερα: ποιανού διευθύνσεις χρησιμοποιείς, πώς δουλεύει πραγματικά το failover, και πού κάθεται το NAT. Κάν' τα σωστά και η προσθήκη χωρητικότητας ή τρίτου ISP είναι ρουτίνα· κάν' τα λάθος και θα αναριθμείς όλο το estate τη μέρα που αλλάζεις provider.
Η βασική επιλογή είναι provider-dependent έναντι provider-independent. Αν χρησιμοποιείς διευθύνσεις του ISP (PA) και μία στατική IP, «multihoming» σημαίνει dual-WAN failover με NAT — φθηνό, απλό, αλλά η δημόσια IP σου αλλάζει όταν πεθάνει το primary, σπάζοντας τις inbound υπηρεσίες. Αν κατέχεις τις δικές σου διευθύνσεις (ένα PI block + ένα ASN) και μιλάς BGP και με τους δύο ISP, κρατάς τις ίδιες δημόσιες IP σε όλο το failover — το πραγματικό multihomed edge, και υποχρεωτικό για όποιον φιλοξενεί inbound υπηρεσίες ή τρέχει WISP. Αυτό το post είναι η αρχιτεκτονική γύρω από αυτά τα builds· το config του BGP είναι δικό του ζευγάρι posts.
01
Διευθύνσεις PA (provider-assigned) ή PI (provider-independent). Αυτή η μία επιλογή καθορίζει αν το failover κρατάει τις δημόσιες IP σου — και άρα αν επιβιώνουν οι inbound υπηρεσίες.
| Πτυχη | PA + dual-WAN NAT |
|---|---|
| Κόστος / πολυπλοκότητα | Χαμηλό — χωρίς ASN, χωρίς BGP |
| Δημόσια IP στο failover | Αλλάζει (σε αυτή του backup ISP) |
| Επιβιώνουν οι inbound υπηρεσίες; | Όχι (χρειάζεται κόλπα dynamic DNS) |
| Κατάλληλο για | Sites μόνο outbound, SMB |
| Πτυχη | PI + BGP multihoming |
|---|---|
| Κόστος / πολυπλοκότητα | Υψηλότερο — ASN + PI block + BGP |
| Δημόσια IP στο failover | Παραμένει ίδια |
| Επιβιώνουν οι inbound υπηρεσίες; | Ναι — ίδιες IP και στα δύο paths |
| Κατάλληλο για | Hosting, WISP, οργανισμούς πολλαπλών sites |
Οι περισσότερες μικρές επιχειρήσεις δεν χρειάζονται BGP — ένα edge PA dual-WAN με καθαρό IP-SLA failover είναι η σωστή, φθηνή απάντηση για sites με βαρύ outbound, και οι inbound υπηρεσίες μπορούν να ζουν πίσω από ένα cloud reverse proxy που κρύβει την αλλαγή IP. Περνάς σε PI + BGP όταν φιλοξενείς υπηρεσίες στις οποίες συνδέεται ο κόσμος, τρέχεις WISP/ISP, ή συμβατικά δεν μπορεί να αλλάξει η δημόσια IP σου. Μην πουλάς BGP σε μια καφετέρια· μην τρέχεις επιχείρηση hosting πάνω σε dynamic DNS.
02
Δύο links μπορούν να κάθονται ένα-ζεστό-ένα-κρύο, ή και τα δύο να κουβαλάνε κίνηση. Η επιλογή διαμορφώνει το BGP policy σου και τον σχεδιασμό χωρητικότητας.
Το active/backup είναι το απλούστερο και συνήθως σωστό: το primary κουβαλάει τα πάντα, το backup μένει σε αδράνεια μέχρι να χρειαστεί. Σε όρους BGP αυτό είναι local-preference για outbound και AS-path prepend για να κατευθύνεις το inbound στο primary. Το active/active χρησιμοποιεί και τα δύο links ταυτόχρονα για περισσότερο συνολικό throughput — αλλά πρέπει να σχεδιάσεις για την περίπτωση αποτυχίας: αν κάθε link τρέχει στο 70% και το ένα πεθάνει, ο επιζών δεν μπορεί να απορροφήσει 140%, οπότε στην ουσία σχεδιάζεις κάθε ένα να μένει κάτω από 50%. Το active/active κάνει επίσης το inbound traffic engineering δύσκολο (μπορείς μόνο να υπαινιχθείς στο internet, σύμφωνα με τα BGP posts). Προτίμα active/backup εκτός αν πραγματικά χρειάζεσαι τη συνδυασμένη χωρητικότητα και μπορείς να ζήσεις μέσα στο όριο του επιζώντος.
03
Η τοποθέτηση του NAT είναι αρχιτεκτονική απόφαση, όχι ένα checkbox. Βάλ' το στο λάθος σημείο και το failover κατακρεουργεί την κίνηση, ή η πλατφόρμα συνδρομητών σου δεν κλιμακώνει. Αυτό είναι το κομμάτι που το πεδίο πάντα κάνει λάθος.
Για ένα edge PA dual-WAN, το NAT ζει στον edge router και πρέπει να ακολουθεί το ζωντανό WAN — ένας κανόνας masquerade/PAT ανά interface, keyed στο egress, ώστε οι μεταφράσεις να κινούνται με το path στο failover (η παγίδα καλύπτεται στα posts NAT και dual-WAN). Για ένα edge BGP/PI με δημόσιο χώρο, εσωτερικά hosts που χρησιμοποιούν δημόσιες IP μπορεί να μη χρειάζονται καθόλου NAT — καθαρότερο, αλλά σχεδίασε το firewall ανάλογα. Για ένα WISP/ISP που εξυπηρετεί πολλούς συνδρομητές πίσω από περιορισμένο IPv4, το CGNAT (RFC 6598 / 100.64.0.0/10) κάθεται σε ένα σημείο συγκέντρωσης, όχι σε κάθε CPE — με κατανομή port-block ανά συνδρομητή και logging για νομική ιχνηλασιμότητα. Και η πραγματικότητα του Starlink από τις field notes: το standard Starlink σου δίνει ήδη CGNAT, οπότε είναι μόνο για επιβίωση outbound και δεν μπορεί να φιλοξενήσει inbound — σχεδίασε γύρω από αυτό από την πρώτη μέρα.
Η επαναλαμβανόμενη καταστροφή του edge είναι το double-NAT: το router σου κάνει NAT, και ο ISP επίσης κάνει CGNAT (συνηθισμένο σε LTE και Starlink), οπότε δεν έχεις καθόλου πραγματική δημόσια IP και τα inbound port-forward δεν κάνουν τίποτα, σιωπηλά. Επιβεβαίωνε πάντα αν κάθε uplink σου δίνει γνήσια δημόσια διεύθυνση ή μία CGNAT — αλλάζει ολόκληρο τον σχεδιασμό inbound. Αν ένα backup path είναι CGNAT (LTE/Starlink), σχεδίασέ το ως μόνο-outbound και κράτα τις inbound υπηρεσίες στο path που έχει δημόσια IP, ή βάλε μπροστά τους ένα VPN/reverse-proxy που καλεί προς τα έξω.
Βασικα Συμπερασματα
Ένα δεύτερο link ISP δεν αξίζει τίποτα αν το NAT και οι κανόνες inbound σπάνε τη στιγμή που αναλαμβάνει. Χτίζω edges dual-WAN και BGP-multihomed όπου το failover πραγματικά κρατάει ζωντανές τις inbound υπηρεσίες, όχι μόνο το outbound browsing.
Κλεισε μια Discovery Call →