У нас есть два интернет-провайдера, каждый из которых назначил нам банк публичных IP-адресов.
Назовем первого провайдера «VZON», а второго провайдера «CCAST».
Телефонный трафик (VoIP) выходит через шлюз VZON; весь остальной трафик данных выходит через шлюз CCAST.
Существует VPN типа "сеть-сеть", соединяющая удаленный сайт через шлюз CCAST. Мы хотим, чтобы этот VPN был «более или менее высокодоступным».
Поскольку это нечеткий термин, я определю, что мы под ним подразумеваем. В случае сбоя подключения к шлюзу CCAST (возможно, отказывает маршрутизатор CCASTS или кто-то случайно выдергивает электрическую вилку), мы хотели бы, чтобы «резервный» VPN автоматически подключался к сети с использованием шлюза VZON; и как только сбой на шлюзе CCAST будет исправлен, мы хотели бы, чтобы VPN автоматически вернулась к использованию шлюза CCAST.
Требуются ли для этого сценария два аппаратных брандмауэра на удаленном сайте? Или может один брандмауэр (скажем, какая-то модель CISCO SRX) настроить две VPN, используя разные шлюзы на другом конце, и рассматривать один из них как «резервный», переводя его в оперативный режим только тогда, когда он обнаруживает, что удаленный узел «мертв» "(с помощью обнаружения мертвого узла или другим способом).
P.S. Если один брандмауэр с основным и «резервным» VPN невозможен, возможно ли иметь две параллельные VPN, но при этом одна из них получает 90% трафика, а другая 10%, опять же с использованием только одного брандмауэра в удаленный сайт и никаких дополнительных устройств, но при сбое подключения к «основной» VPN нагрузка автоматически переключается на 100% для «вспомогательной» VPN.
Вкратце: нет, вам не нужны два брандмауэра на удаленном сайте, а скорее один брандмауэр, способный к двойному управлению WAN и с возможностью двойного узла VPN. Практически любой современный брандмауэр поддерживает эти функции.
Очевидно, это означает, что отказ брандмауэра приведет к отключению VPN-туннеля независимо от того, сколько у вас подключений к Интернету. Чтобы избежать такой возможности, вам пришлось использовать два брандмауэра для создания единого кластера высокой доступности - функция, которая обычно доступна на устройствах, ориентированных на бизнес.