Специальная маршрутизация

Кто-нибудь подскажет? Я пытался поиграться с VRF, но, к сожалению, как только включаю любой VRF, у меня перестает быть доступ к другим устройствам (как к устройствам через VPN, так и к самому OPNsense).

CCR отвечает за мои VPN-туннели, NAT/проброс портов и вообще за весь WAN-трафик. Использую его, потому что мой провайдер разрешает только один MAC-адрес на интерфейсе. OPNsense в режиме HA такого не поддерживает, и у меня с этим возникали проблемы.

Итак, трафик от клиентов (V)LAN в интернет будет проходить через CCR дважды (сначала от клиента к Opensense, затем от Opensense к интернету, и аналогично в обратном направлении). Это требует маркировки пакетов для маршрутизации в зависимости от входящего интерфейса. Процессор маршрутизатора тоже это не легко переварит. Добавление VRF в эту схему никак не облегчает жизнь CCR. И я не уверен, что CCR сможет маршрутизировать на скорости 10 Гбит/с, официальные тесты показывают реальную пропускную способность около 4,5 Гбит/с (а у вас настройка будет намного сложнее средней, так что я бы ожидал ещё меньшую производительность в вашем конкретном случае). Если вам нужна простая маршрутизация между VLAN на стороне LAN у Opensense, то, возможно, стоит посмотреть в сторону хорошего L3-коммутатора… MT предлагает несколько моделей, обратите внимание на руководство по аппаратному разгрузке L3, там есть таблицы возможностей. Только учтите: при подсчёте количества маршрутов (префиксов), напрямую подключённые сети считаются большим числом маршрутов/префиксов, каждый хост учитывается отдельно (то есть /32 для IPv4 и /128 для IPv6). Это значит, что таблицу маршрутизации очень легко переполнить, и тогда L3-коммутатор начнёт маршрутизировать на своём (слабом) процессоре, из-за чего производительность упадёт до нуля.

Да, я только что отредактировал свой предыдущий пост, добавив немного идей и полезных советов.