OpenVPN - Site2Site Verbiondung - Mit HA

[superwinni2]

Hallo zusammen


ich glaube ich habe so gerade eben ein merkwürdiges Problem festgestellt.
Leider kann ich nicht genau sagen seit wann dies so ist... Kan nauch sein, dass dies erstseit den letzten paar Updates stattgefunden hat.
Ich habe am Hauptstandort eine Hochverfügbare Firewall mit der Version 19.7.9_1
Hier läuft ein OpenVPN Server:

Code Select Expand


Peer to Peer (SSL / TLS)
UDP
tun
IPv4 Tunnel Network: 172.16.103.0/30
Dynamic IP: gesetzt
Address Pool: gesetzt

Der Server läuft und hat auch früher ohne Probleme funktioniert.


Auf der Clientseite ist ebenfalls eine OPNsense im HA Modus.
Hier habe ich einen entspechenden OpenVPN Client Eintrag hinzugefügt.


Nun das komische:
Starte ich auf der Clientseite nur eine OPNsense, baut diese die VPN Verbindung auf und alles funktioniert wie gewünscht. Das Routing klappt richtig und es passt alles.
Starte ich dann die zweite OPNsense so startet diese normal (CARP etc. funktioniert alles korrekt). Allerdings fängt diese dann ebenfalls an die VPN Verbindung (zu meinem Hauptstandort) aufzubauen.
Hierdurch gibt es dann natürlich Probleme da die OPNsense am Hauptstandort mal hier und mal dort hin routet.


Sonstiges:
Auf Clientseite hatte ich erst Version 19.7.9_1 installiert, bin dann jedoch zur Fehlersuche zurück zur Version 19.7.7   (Virtualisertes System)
Ebenfalls ist egal ob ich zuerst die "Main" oder die "Backup" OPNsense starte.
NAT oder ähnliches gibt es keines zwischen den Netzen.


Theoretisch würde ich sagen, dass die "Backup" OPNsense erst dann eine Verbindung aufbauen sollte, wenn diese aktiv in den Betrieb geht oder?


Ich hoffe man kann meine Situation verstehen :D
Gibt es hier eine Lösung oder ähnliches?
Danke und Gruß

[superwinni2]

Niemand der eine ähnliche Situation hat?

[c-mu]

Hast du im VPN Server und Client denn jeweils die VIP als Interface angegeben?
Erst dann hat bei mir die Abstimmung zwischen den HA-Servern geklappt, wer jetzt den Tunnel startet und wer nicht.

[superwinni2]

Oh man...  ::)
Da habe ich wohl den Wald vor lauter Bäumen nicht gesehen.. Habe auf der Clientseite nicht das Interface definiert.
Danke  ;D