双 WAN 接入的故障转移检测方式

[Rinrin]

设想中的双 WAN 通过防火墙接入
主要线路：上海电信，大部分对外访问使用
备用线路：上海移动，部分海外站点使用
我需要考虑两条线路的故障转移问题，防火墙的配置指南中这么写的
1 、当通往两个运营商链路都正常工作的情况下，访问 ISP1 地址的流量走连接 ISP1 的链
路，访问 ISP2 地址的流量走连接 ISP2 的链路。
2 、当一条链路出现故障时， 流量可以被及时切换到另一条链路上， 避免网络长时间中
断。
那么问题来了，通过何种方式检测当前某条线路是否正常？或者说什么条件下做切换？
指南中给的方法是做 icmp 探测，那么上海电信和上海移动各自选择什么地址做探测比较合适？

[jasontse]

traceroute 随便找个城域网里的核心设备就可以啊

[Rinrin]

@jasontse 额，可以随便找吗？
有几点我觉得要考虑下
1. 这个设备的地址其他运营商是不允许 ping 通的，否则链路测试没有意义。 我找了链路上的几个 IP ，有的可以通，很快， 20ms ，有的不通
2. IP 是否足够稳定，不会经常调整，线路割接时是否会临时失效
3. 是否允许我长 PING ，会不会做个 Qos 导致 ping 丢包。。。。。

[JackyBao]

可以参考一下我的方案，异曲同工。
https://www.v2ex.com/t/333838

[JackyBao]

mwan3 自带 ping 侦测和策略，应该可以满足你的要求。

[ixiaoyui]

114.114.114.114 223.5.5.5 223.6.6.6

[LGA1150]

DNS 根服务器

[flyfishcn]

@Rinrin icmp 也是各自从各自的口出去的，你只要找各自本网能稳定 ping 通的公网地址即可。严格的话，不要找城域网内的，因为出本市、省链路断了，城域网肯定还能 ping 通，但是和互联网实际已经中断。

[jasontse]

@Rinrin 最简单的测一下本省的 DNS 就行了

@flyfishcn 无限上纲的逻辑，你咋不把五大洲测个遍呢。

[yexm0]

@jasontse 有些城市的 dns 是禁 ping 的...例如广东电信

[flyfishcn]

@jasontse 楼主既然是配置故障转移，就是对网络要求比较高， dns 通不代表互联网就通，你 ping 127.0.0.1 还永远都通呢。断网时候 ping 一个孤岛做故障转移有意义？

[jasontse]

@flyfishcn
你想的太过复杂，楼主就是双线优化网络之余顺便做个备份。
你觉得全市甚至全省断网的几率会高吗。

[flyfishcn]

@jasontse 不高，但对于网管来说就是一条路由的事情而已，对于施工队就是一铲车的事。另外上海外网炸过、江西外网炸过、我这连专线都炸过，接入城域网汇聚层的专线，追出省第一跳直接空路由见过没？故障自动转移就是为了能快速响应、缩小故障影响。

[jasontse]

@flyfishcn 海缆还有断的时候呢，对于渔船也就是抛个锚的事情。五大洲所有方向测一遍更靠谱。君不见去年端午节电信访问美国西岸集体挂掉。缩小影响也有个度。

[flyfishcn]

@jasontse 明显城域网挂掉的可能性比与外部互联的链路挂的可能性更小

[geekzu]

测 114dns ，都散了吧

[Sh888]

cisco 基于 ipsla 的浮动路由。
你都上双线了，买个 cisco 的路由器也不贵吧？

[Sh888]

icmp 对象一般会选择该条线路的 dns 服务器。因为一般 dns 服务器的稳定性较高，而且如果 dns 服务器挂了本身也会影响到该线路上网络服务的稳定性。

[Rinrin]

@Sh888 恩，我用的是华为的 USG 系列安全网关