Messages

[Setup:]

Erfahrungsbericht beim Einsatz von zwei Point-to-Point-Sessions.

Auch hier: Ideen willkommen, aber hauptsächlich ein Erfahrungsbericht und Warnung für andere.

Setup:
OPNsense 26.7.4_1-amd64
FreeBSD 15.1-RELEASE-p3
OpenSSL 3.5.8

zwei Glas-Uplinks Telekom mit PPPoE, die auf demselben BNG terminieren.

Problem:
Wenn beide PPPoE-Sessions auf demselben BNG terminieren, haben sie dieselbe Uplink-IP. Der Kernel fügt dann die zweite Route *nicht* in die Routingtabelle ein ("ach guck, die Route hab ich ja schon!"), sondern verwirft die Pakete stumm.

Traffic, der auf der Firewall originiert, funktioniert.

Ein genauerer Aufschrieb ist unter Bug 298932 aufgeführt.

Das führt jedenfalls dazu, dass der Schwenk beim Ausfall der aktiven Leitung funktioniert (die andere Leitung übernimmt), aber der Schwenk zurück schlägt dann fehl, weil die Route in der Routingtabelle dann auf die Backup-Leitung zeigt.

Mögliche Lösungen:

• eine Leitung auf ein anderes BNG ziehen lassen (schwierig bei den Supportkanälen)
• eine Leitung zu einem anderen Provider ziehen
• zwei FIBs (nicht supported unter OPNsense)
• zweite Leitung an ein anderes Gerät ziehen, das die Session hält.

Alles bißchen unschön, aber ich gebe zu, das beide Leitungen denselben Endpunkt haben ist auch nicht hübsch ;-)

[Setup:]

Erfahrungsbericht Einsatz HA-OPNsense und Fehler beim Failover mit PPPoE-Sessions


Das ist kein Cry for Help, aber vielleicht hilft es ja jemandem, der sich in einer ähnlichen Situation befindet... Lösungsideen sind aber natürlich jederzeit willkommen.

Setup: zwei OPNsense in HA-Mode, zwei WAN-Interfaces mit Glasfaser-Uplinks (virtualisiert auf Proxmox, aber das spielt keine Rolle). Beide nic0 gehen über einen kleinen Switch zum ONT, beide nic1 über einen zweiten Switch zum zweiten ONT.

OPNsense 26.7.4_1-amd64
FreeBSD 15.1-RELEASE-p3
OpenSSL 3.5.8

nic0 trägt ein vlan0.7.1, auf dem wiederum das pppoe0 liegt und nic1 trägt ein vlan0.7.2, das pppoe1 trägt.

Problem: beide pppoe0 auf opnsense1 und opnsense2 haben ihre PPPoE-Interfaces always up. Der Status ist nicht an CARP gebunden, weil sie ja keine CARP-VIP haben. Das führt dazu, dass der Node, dessen PADI als erste an der Gegenstelle auftauchen, die Session erhält - das kann eben auch gut der Backup-Node sein, der dann zwar nicht aktiv ist, aber die PPPoE-Session hält. Der Master-Node ist dann "leitungslos".

Mögliche Lösung: auf den vlan0.7.x-Interfaces eine VARP-VIP konfigurieren, damit das Interface nur hoch kommt, wenn der Knoten schwenkt. Das führt zu einem Folgeproblem: es gibt Berichte, dass manche OLTs (insbesondere Telekom) nur zwei MAC-Adressen am ONT akzeptieren. Mit der CARP-VIP wären das dann aber schon drei. Mit den eingesetzten Switches (Mikrotik CSS106) kann ich die leider nicht filtern.

Es gibt einen Pull Request dafür, der ist aber noch ungelöst und ich bin mir nicht sicher, dass er hier konkret hilft.

Nicht dass ich wüsste - das Ding meldet sich normalerweise als Serielle Schnittstelle, die mit AT-Kommandos gesteuert werden kann. Muss ich mir mal anschauen...

Moin zusammen,

Setup hier: Fritzbox Cable mit LTE-Backup via USB-Stick (Huawei). ich würde gerne den LTE-Stick von der FritzBox direkt an die OpnSense hängen, um ein Failover zu haben, wenn das Kabel ausfällt.

Getestet habe ich das kurz, das funktioniert auch gut, aber mit dem aktuellen Treiber kann man keine PPP-Session mehr aufbauen und den Stick als Modem nutzen, sondern er wird als Ethernet-Interface eingebunden. Finde ich eigentlich praktisch, aber mir stellt sich die Frage, ob dann auch der richtige APN genutzt wird und wie man den ggf. einstellen könnte - ich habe keine Lust, dass mir dann der Mobilfunkprovider eine Rechnung zuschickt, weil ich einen APN genutzt habe, der nicht in meinem Tarif drin ist...

Hat hier jemand Erfahrungen bzw. ne Idee?

BG,
Axel