HA OPNSense bei Hetzner mit Proxmox und mehreren Eintrittsgateways

[whitenexx]

Hi zusammen,

ich versuche momentan ein "low-budget" Datacenter/Infrastruktur mit Proxmox, Kubernetes etc. bei Hetzner aufzubauen. Dies habe ich bereits laufen und alles rennt. Alle Komponenten sind HA ausgerichtet bis auf eine kleine Lücke für die ich noch keine Lösung habe.

Kurze Beschreibung des Setups:
- 3 dedicated Hetzner Server mit ordentlich Hardware und eigenen IPv4 Adressen pro Host
- Proxmox VE drauf, Nutzung der Hetzner vSwitches (mehrere getrennte für Corosync und VMs), Proxmox VXLAN über die Hetzner vSwitches erfolgreich aufgespannt, sodass ich VMs hin und her schieben kann zwischen den Proxmox Hosts und sie bleiben erreichbar.
- OPNSense als Router für DHCP, DNS, Wireguard VPN, HAProxy in VM auf Proxmox Host 1 mit eigener IPv4

Wie man sieht, existiert nur eine opnSense VM als "Eintrittstor" in die Infrastruktur, daher bringt mir das ganze HA Setup nichts, wenn diese oder der Host auf dem sie liegt, ausfällt. Datenbanken, Storage, Applikationen habe ich bereits perfekt mit internem Networking HA geclustert (u.a. über ein Kubernetes Cluster was ich über die Proxmox Hosts aufgespannt habe).

Vor das Cluster werde ich noch einen LoadBalancer (ggf. extern eingekauft, oder den von CloudFlare) schalten, der den Traffic dann auf die entsprechenden 3 Eintrittsgateways (OPNsense VMs) verteilen soll, schalten.

Nun meine Frage:
Kriegt man es irgendwie hin, die OPNSense zu clustern, sodass die von Hetzner vergebenen (festen) IPv4 Adressen der Proxmox Hosts (dedicated) genutzt werden können? Alternativ das ich 3 bestellte IPv4 Adressen die den OPNSense VMs zugewiesen sind, genutzt werden können, wobei jede OPNSense VM als Eintrittstor agieren kann?
Ich stelle mir das so vor, dass im Web-Kontext ein https-call auf Port 443 an den LoadBalancer kommt, dieser diesen Call an eine der 3 OPNSense VMs weiter gibt und die jeweilige OPNSense dann via HAProxy weiter an einen der dahinter liegenden Kubernetes Hosts weiter reicht.

Danke schonmal für eure Hilfe!

[lfirewall1243]

An sich sollte da nichts gegen sprechen

Würde den zwei OPNsense Systemen einen extra vswitch zuweisen nur für die Pfsync Verarbeitung.

Außerdem müssen die WAN und LAN Schnittstellen der beiden am gleichen vswitch hängen

Von da aus wird das ganze dann nach der Anleitung konfiguriert.

Und denk dran im Proxmox musst du das verändern der MAC Adressen für die VMs erlauben, sonst geht CARP nicht