Belajar Keepalived - HA for Gateway & Router Redundancy

#Pendahuluan

Salah satu use case tertua dan paling penting Keepalived adalah membuat default gateway yang redundan. Jika gateway mati, seluruh subnet kehilangan akses keluar — kecuali ada router cadangan yang siap mengambil alih VIP dalam hitungan detik. Episode 12 membangun skenario ini dari nol.

Kita akan mengonfigurasi dua node router dengan satu VIP gateway, mengaktifkan IP forwarding di kernel, mengintegrasikan route ke state VRRP, dan menambahkan policy routing agar lalu lintas keluar selalu lewat jalur yang sehat. Di akhir episode, subnet kalian punya pintu keluar yang tidak pernah tunggal.

#Redundant Default Gateway dengan VRRP

#Konsep Virtual Gateway

Dua router berbagi satu VIP, dan semua klien memakai VIP itu sebagai default gateway. Saat router aktif mati, VIP berpindah ke router cadangan, dan klien tetap bisa keluar jaringan tanpa mengubah apa pun. Inilah bentuk paling sederhana dari first-hop redundancy.

#Konfigurasi Dua Router

Konfigurasi router aktif (lb01) dan cadangan (lb02) dengan pola yang sudah akrab:

global_defs {
  router_id GW-01
}
 
vrrp_instance VI_GW {
  state MASTER
  interface eth0
  virtual_router_id 70
  priority 100
  virtual_ipaddress {
    192.168.1.1/24 dev eth0
  }
  virtual_routes {
    0.0.0.0/0 via 203.0.113.1 dev eth1
  }
}

Pada node cadangan, ganti state menjadi BACKUP dan priority menjadi 90, dengan virtual_router_id dan virtual_ipaddress yang sama persis. VIP 192.168.1.1 menjadi default gateway logis bagi seluruh klien di 192.168.1.0/24.

#Routing Outbound dan IP Forwarding

#Mengaktifkan IP Forwarding

Agar router bisa meneruskan paket antar interface, aktifkan forwarding di kernel:

sudo sysctl -w net.ipv4.ip_forward=1
echo "net.ipv4.ip_forward = 1" | sudo tee /etc/sysctl.d/99-keepalived.conf
sudo sysctl -p /etc/sysctl.d/99-keepalived.conf

Perintah sysctl -w net.ipv4.ip_forward=1 mengaktifkan forwarding langsung, dan penulisan ke /etc/sysctl.d/99-keepalived.conf membuatnya persisten. Tanpa forwarding, router tidak akan meneruskan paket klien ke internet.

#Track Uplink dengan track_interface

Gateway yang uplink-nya putus tidak layak menjadi MASTER. Tambahkan tracking:

vrrp_instance VI_GW {
  state MASTER
  interface eth0
  virtual_router_id 70
  priority 100
  track_interface {
    eth1
  }
  virtual_ipaddress {
    192.168.1.1/24 dev eth0
  }
  virtual_routes {
    0.0.0.0/0 via 203.0.113.1 dev eth1
  }
}

Blok track_interface menurunkan priority saat eth1 (uplink ke internet) putus. MASTER yang kehilangan koneksi keluar akan segera menyerahkan VIP ke router cadangan yang uplink-nya sehat.

#Integrasi dengan Kernel Routing

#Memastikan Return Path Benar

Saat VIP berpindah, tabel ARP dan routing di switch harus diperbarui. GARP dari Keepalived menangani ARP, tapi pastikan juga switch tidak memakai sticky MAC. Jika ada, konfigurasi port harus mengizinkan MAC virtual 00:00:5E:00:01:XX berpindah.

#Policy Routing untuk Lalu Lintas Keluar

Topologi dengan dua ISP atau uplink butuh policy routing agar traffic keluar lewat jalur yang sesuai. Buat tabel routing terpisah dan aturan:

sudo ip rule add from 192.168.1.0/24 lookup 100
sudo ip route add default via 203.0.113.1 dev eth1 table 100

Perintah ip rule add from 192.168.1.0/24 lookup 100 mengarahkan lalu lintas dari subnet klien ke tabel 100, dan ip route add default via 203.0.113.1 dev eth1 table 100 mengisi tabel tersebut. Policy routing ini memastikan reply paket kembali lewat uplink yang sama dengan request.

#Verifikasi Jalur Keluar

Uji bahwa VIP gateway benar-benar meneruskan traffic:

ip route show
ping -I 192.168.1.1 8.8.8.8 -c 3

Output ip route show di klien harus menampilkan default via 192.168.1.1, dan ping -I 192.168.1.1 8.8.8.8 membuktikan gateway meneruskan paket ke internet.

#Skenario Gateway Aktif-Aktif

#Dua VIP, Dua Uplink

Untuk memanfaatkan kedua router, beri masing-masing satu VIP dan arahkan separuh klien ke VIP A dan separuh ke VIP B:

vrrp_instance VI_GW_A {
  state MASTER
  interface eth0
  virtual_router_id 70
  priority 100
  virtual_ipaddress {
    192.168.1.1/24 dev eth0
  }
}
 
vrrp_instance VI_GW_B {
  state BACKUP
  interface eth0
  virtual_router_id 71
  priority 90
  virtual_ipaddress {
    192.168.1.2/24 dev eth0
  }
}

Di lb01, instance VI_GW_A menjadi MASTER untuk gateway A dan VI_GW_B menjadi BACKUP untuk gateway B. Di lb02 konfigurasinya dibalik. Hasilnya: kedua router memikul beban, dan satu sama lain menjadi cadangan.

#Penutup

Episode 12 menjadikan Keepalived tulang punggung jaringan: redundant default gateway dengan VIP, IP forwarding yang aktif, uplink yang ter-track, dan policy routing untuk jalur keluar yang sehat. Subnet kalian kini memiliki pintu keluar yang selalu berpenjaga.

Inti yang harus dibawa pulang:

• VIP gateway membuat default gateway klien tidak pernah tunggal.
• Aktifkan net.ipv4.ip_forward agar router benar-benar meneruskan paket.
• track_interface memindahkan VIP saat uplink putus.
• GARP menjaga MAC virtual berpindah di tabel ARP dan switch.
• Policy routing memastikan return path melewati uplink yang sama.
• Dua VIP di dua router menciptakan gateway active-active.

Di episode 13 selanjutnya kita membahas secure traffic handling — menggabungkan Keepalived dengan firewall iptables dan nftables, melindungi VIP dari spoofing dengan reverse path filtering, serta mengamankan endpoint health check.