Multi WAN - Monitoring via Zabbix

[Domi741]

Moin zusammen,


ich habe hier eine OPNsense Installation mit 3 physischen WANs, jeder ein eigener Netzwerkport am Gerät.
Zusätzlich habe ich mehrere VLANs eingerichtet, jeweils 2 VLANs pro physischem Port.


Es wird kein Loadbalancing oder so eingerichtet, die unterschiedlichen VLANs kriegen einach feste WANs zugewiesen.


Jede WAN Schnittstelle hat für das interne Monitoring eine eigene Monitor IP zugewiesen.
WAN 1: 8.8.4.4
WAN 2: 1.0.0.1
WAN 3: 140.112.112.112


Für das Monitoring des Netzwerkes setze ich Zabbix ein und möchte nun, dass Zabbix für jede WAN Verbindung die entsprechende Monitoring IP anspricht.
Ich habe entsprechende Floating Rules eingerichtet, dass wenn mit der entsprechende IP Adresse ein ICMP gemacht die entsprechende WAN Verbindung genommen wird.


Zur Zeit ist die Firewall noch bei mir in der Grundeinrichtung und ich nutze nur eine WAN Verbindung, so dass im Monitoring die 2. und 3. WAN Verbindung als Offline gekennzeichnet werden sollte, da ja kein Ping raus geht.


Leider musste ich feststellen, dass sobald die 2. und 3. WAN Verbindung Offline sind automatisch die 1. benutzt wird.


Gibt es irgendwo versteckt noch Einstellungen? Auch bei einem Ping von der Firewall selbst kriege ich für egal welche Source Adresse keine Ping aussetzer.


Bei den Floating Rules habe ich bei den Interfaces alle inkl. Loopback bis auf die WANs ausgewählt.
Screenshots von den Floating Rules, Gateways und ein Auszug aus der Zabbix Map anbei.


Liebe Grüße
Dominic

[Domi741]

Moin zusammen,
ich habe nun noch ein wenig getestet.Selbst wenn ich gezielt Hosts z.B. "telekom.de" und den Port 80 an das 2. Gateway binde über die Floating Rules und das Gateway sogar aktiv ist, routet er immer über das 1. Gateway.
Liebe GrüßeDominic

[superwinni2]

Ich würde es mal mit Gateway Gruppen versuchen und so die Ziel IP (über eine FW Regel) fest einem Gateway zuzuordnen.

[Domi741]

Moin superwinni2,

leider hat dein Vorschlag keinen Erfolg gebracht.

Aber ich habe neue Erkenntnisse sammeln können.

Ich habe aber im Firewall Livelog gesehen, dass die ICMP Meldungen direkt auf dem WAN1 mit Direction "out" gehen und es keinerlei Direction "in" Pakete auf einem der Interfaces gibt. Da meine Rules natürlich auf allen internen Interfaces als Direction "in" eingerichtet sind, kann dann natürlich keine der Regeln greifen.

Wenn ich von meinem Laptop nun einen Ping an die IP Adressen sende, gehen die Pings über die richtigen Interfaces raus.
Sobald ich dann allerdings das WAN2 trenne, und die IP Adresse anpinge, welche über WAN2 rausgehen soll, sendet er die Daten trotzdem auf WAN1 raus.

Zusätzlich stellt sich nun die Frage, von welcher Adresse sendet der Zabbix Agent auf der OPNsense die Daten. Im Agenten habe ich als "Source IP" die IP der OPNsense hinterlegt.

Liebe Grüße
Dominic