Incident réseau du 30 avril 2017 entre 20h et 22h
Bonsoir, Ceux qui sont des services chez nous ont dû voir que globalement c’était tout pété. La cause est un problème de configuration lorsque nous avons voulu étendre le CARP (redondance réseau) en IPv6 entre budic et nominoe. Pour rappel, nous l’avons déjà en IPv4 depuis quelques temps. Suite à cette erreur de configuration, les deux interfaces internes des routeurs étaient down, ce qui rendait impossible la communication entre grifon et le reste d’internet. Nous pensions que les configurations CARP entre IPv4 et IPv6 étaient les mêmes, ce n’est apparemment pas le cas. Nous allons donc déployer une infrastructure séparée afin de faire des tests sans impacter tout l’infrastructure de prod. Désolé pour la coupure de service, tous les conseils à propos du déploiement de CARP en IPv6 sont les bienvenus. Bonne soirée, bisous, -- alarig
Nous sommes parti sur l'idée que l'implémentation de Carp sous FreeBSD était la même que pour OpenBSD, il s'est avéré que non. Il nous manque un paramétrage pour l'ipv6 que nous ne trouvons pas. Sur chaque exemple que nous trouvons, la partie v6 est soit différente soit inexistante (encore une techno qui marchera pas... :D), nous allons bosser plus en profondeur la partie v6 de carp avant de planifier une intervention. Le 30/04/2017 à 22:22, Alarig Le Lay a écrit :
Bonsoir,
Ceux qui sont des services chez nous ont dû voir que globalement c’était tout pété.
La cause est un problème de configuration lorsque nous avons voulu étendre le CARP (redondance réseau) en IPv6 entre budic et nominoe. Pour rappel, nous l’avons déjà en IPv4 depuis quelques temps.
Suite à cette erreur de configuration, les deux interfaces internes des routeurs étaient down, ce qui rendait impossible la communication entre grifon et le reste d’internet.
Nous pensions que les configurations CARP entre IPv4 et IPv6 étaient les mêmes, ce n’est apparemment pas le cas. Nous allons donc déployer une infrastructure séparée afin de faire des tests sans impacter tout l’infrastructure de prod.
Désolé pour la coupure de service, tous les conseils à propos du déploiement de CARP en IPv6 sont les bienvenus.
Bonne soirée, bisous,
_______________________________________________ Grifon mailing list Grifon@grifon.fr https://lists.grifon.fr/mailman/listinfo/grifon
Et j’oubliais aussi, on a fait des trucs intéressants (et sans rien casser) : * Passage de https://grifon.fr/, https://lists.grifon.fr/ et https://wiki.grifon.fr/ sur un certificat gandi * migration du bind de nemee sur gourmaleon * avancement du nouveau script déploiement de VMs (par PXE) Pour rappel, la TODO est ici : https://travaux.grifon.fr/index.php?do=index&project=1&status[]=open -- alarig
Re, En reprenant le truc à tête reposée, j’ai réussi à le faire tomber en marche, je ne sais pas trop comment par contre. J’ai fait la mise en prod sur les routeurs de grifon. La route par défaut redondée entre les deux routeurs est fe80::204:092:100:1 (fe80::ASN:id_cogent:1). L’ancienne continuera de fonctionner tant que l’on ne change pas de routeur, mais à la première panne vous serez impactés. -- alarig
On lun. 1 mai 17:01:41 2017, Alarig Le Lay wrote:
Re,
En reprenant le truc à tête reposée, j’ai réussi à le faire tomber en marche, je ne sais pas trop comment par contre.
J’ai écrit un article sur ce que j’ai compris : https://www.swordarmor.fr/carp-ipv6-avec-freebsd.html Si jamais quelqu’un dans l’assemblée a des réponses aux questions que je me pose, je prends :) En gros, c’est : * Pourquoi la syntaxe IPv4 est différente ? * Pourquoi ça ne marchait pas quand l’IPv4 était configuré en premier ? (et qu’il y avait la même syntaxe qu’IPv6 à la base) * Est-ce que avoir le même mot de passe pour les deux protocoles est un problème ? -- alarig
Bonjour Alarig, Le lundi 01 mai 2017 à 19:00 +0200, Alarig Le Lay a écrit :
J’ai écrit un article sur ce que j’ai compris : https://www.swordarmor.fr/carp-ipv6-avec-freebsd.html
Merci de rédiger tes retours d'expérience à chaque fois, c'est très instructif !
Si jamais quelqu’un dans l’assemblée a des réponses aux questions que je me pose, je prends :) En gros, c’est : * Pourquoi la syntaxe IPv4 est différente ?
Alors je n'y connais vraiment pas grand chose en BSD, mais je vais tenter une hypothèse : à une époque sous Linux, le seul moyen d'avoir plusieurs IPv4 sur une interface, c'était par l'intermédiaire d'interfaces « alias » ; celles qui sont nommées en « eth0:1 » par exemple (notez les deux-points). Ainsi, on avait plusieurs pseudo- interfaces avec chacune une seule IP, mais qui correspondaient en réalité à la même interface. Ça simplifiait l'implémentation, je suppose. Cette limitation est partie, je crois, quand l'IPv6 a été implémenté (qui lui gère très bien de base plusieurs IP par interface), et que le code a dû être porté/réutilisé pour IPv4. Je précise que ça date d'avant que je tâte du réseau sous Linux, donc ça a un certain âge :-) Je fais donc l'hypothèse qu'il y a peut-être des restes de ce genre de limitation sous BSD, vu que le CARP c'est avoir plusieurs IPv4 par interface, et vu le nom du contournement utilisé sous Linux (alias)… -- benjamin
participants (3)
-
Alarig Le Lay -
Benjamin Cama -
Boris Tassou