Site icon bintorosoft.com

Dual-ISP-Design auf Cisco-Routern: Failover, Load Sharing und End-to-End-Verifikation

Red Snapper

Network engineer working with tablet in server data center room, professional skilled technician

Ein Dual-ISP-Design auf Cisco-Routern reduziert Downtime, wenn es nicht nur „zwei Leitungen“ bereitstellt, sondern Failover-Kriterien, Pfad-Überwachung (Path-Down) und saubere Verifikation end-to-end definiert. In der Praxis sind Providerstörungen mit Link-up deutlich häufiger als echte Link-down-Events. Deshalb reicht eine zweite Default-Route nicht aus: Sie brauchen IP SLA/Tracking, klare Prioritäten (Active/Standby oder Load Sharing) und Tests, die Internet, DNS, VPN und kritische Apps einbeziehen. Dieser Leitfaden zeigt praxistaugliche Designs für Failover und Load Sharing – inklusive CLI-Beispiele und Checklisten.

Designentscheidungen: Active/Standby vs. Load Sharing

Bevor Sie konfigurieren, müssen Sie das Betriebsziel festlegen. Active/Standby ist robuster und einfacher zu betreiben. Load Sharing kann Bandbreite besser nutzen, erhöht aber Komplexität (Symmetrie, Policies, NAT, VPN).

Ausfallmodelle: Link-Down vs. Path-Down

Dual-ISP muss beide Ausfallarten abdecken. Link-Down ist physischer Ausfall. Path-Down ist Upstream-Ausfall bei Link-up – der häufigste Grund für „Internet weg, aber Interface up“.

Basis-Architektur: Zwei WAN-Interfaces, klarer Inside/Outside

Unabhängig vom Modus müssen WAN-Interfaces eindeutig sein und NAT/Routing sauber zugeordnet werden. Interface-Descriptions mit Circuit-ID sind Pflicht für Betrieb und Provider-Tickets.

CLI: Interface-Standards (Beispiel)

interface GigabitEthernet0/0
 description WAN-ISP1-PRIMARY-CID12345
 ip address 198.51.100.2 255.255.255.252
 ip nat outside
 no shutdown

interface GigabitEthernet0/2

description WAN-ISP2-BACKUP-CID67890

ip address 203.0.113.2 255.255.255.252

ip nat outside

no shutdown

Failover-Design (Active/Standby): Default-Routen + IP SLA/Tracking

Das Standarddesign nutzt eine Primary Default-Route, die an Tracking gebunden ist. Fällt der Pfad (Link-Down oder Path-Down), wird die Route entfernt und die Backup-Default greift über höhere Administrative Distance.

IP SLA + Tracking (Path-Down Erkennung)

ip sla 10
 icmp-echo 1.1.1.1 source-interface GigabitEthernet0/0
 frequency 5
 timeout 1000
ip sla schedule 10 life forever start-time now

track 10 ip sla 10 reachability

Default-Routen (Primary tracked, Backup mit höherer AD)

ip route 0.0.0.0 0.0.0.0 198.51.100.1 track 10
ip route 0.0.0.0 0.0.0.0 203.0.113.1 200

Verifikation Failover-Pfad

show ip sla statistics
show track
show ip route 0.0.0.0

Wichtige Parameter: Targets, Frequenz und Failback

IP SLA ist nur so gut wie das Target. Nutzen Sie idealerweise ein Provider-nahes Target und zusätzlich ein neutrales Internet-Target. Failback sollte kontrolliert erfolgen, um Flapping bei instabilem Provider zu vermeiden.

Load Sharing ohne BGP: ECMP vs. Policy-Based Routing (PBR)

Load Sharing ist in der Praxis entweder ECMP (gleichwertige Routen) oder PBR (Policy-basiert). ECMP ist einfach, aber weniger steuerbar. PBR ist steuerbar, aber erfordert sauberes Monitoring und klare Ausnahmebehandlung.

Load Sharing mit PBR: Segmentbasiertes Beispiel (konzeptionell)

Ein typischer Ansatz ist, Guest über ISP2 und Corporate über ISP1 zu senden. Für Stabilität müssen Sie Path-Down erkennen und PBR bei Ausfall sauber umgehen.

BGP Dual-ISP: Wann es sinnvoll ist

BGP ist sinnvoll, wenn Sie eigene öffentliche Präfixe announcen, Inbound/Outbound steuern oder echte Provider-Redundanz mit Policies brauchen. Mindeststandard sind Filter und max-prefix, sonst drohen Instabilität und Routenleaks.

Dual-ISP und VPN: Typische Stolpersteine

VPNs reagieren empfindlich auf Pfadwechsel. Planen Sie daher, wie VPN-Tunnel auf beiden ISPs funktionieren sollen (Dual-Hub, Dual-Peer, DPD/Rekey). Prüfen Sie immer Traffic, nicht nur SA-Up.

VPN-Checks (Pflicht im Dual-ISP UAT)

show crypto ikev2 sa
show crypto ipsec sa
show crypto session detail

End-to-End-Verifikation: Was im UAT getestet werden muss

Dual-ISP gilt erst als abgenommen, wenn sowohl Link-Down als auch Path-Down getestet wurden – und die wichtigsten Services (DNS, HTTPS, VPN, Business-Apps) nach Umschaltung funktionieren. Messen Sie Umschaltzeit und dokumentieren Sie Evidence.

Evidence-Set (Copy/Paste)

show ip sla statistics
show track
show ip route 0.0.0.0
show ip nat translations
show crypto ipsec sa
show logging | include LINEPROTO|LINK-|IPSLAs
ping 1.1.1.1 repeat 20
traceroute 1.1.1.1

Typische Fehlerbilder und wie Sie sie vermeiden

Die meisten Dual-ISP-Probleme entstehen durch fehlende Path-Down-Erkennung, falsche Targets oder ungetesteten Failback. Nutzen Sie diese Liste als Design-Review-Check.

Operability: Monitoring und Alarmierung für Dual-ISP

Dual-ISP muss überwacht werden, sonst ist Redundanz nur „auf dem Papier“. Definieren Sie Alarme für Link/Path, Default-Route-Status und VPN/Routing-Events.

CLI: Operability-Snapshot

show ip interface brief
show ip sla statistics
show track
show ip route 0.0.0.0
show logging | last 100

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

Sie erhalten

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.

Exit mobile version