Datenpakete werden in Bridge verworfen

[imagmbh]

Hallo zusammen,

noch ein Problem mit zwei gebridgeten OPNsense. Sinn: Wir haben zwei Provider an unterschiedlichen Standorten A + B, an beiden Standorten haben wir öffentliche IP-Netzbereiche. Nun steht leider eine Maschine an Standort A, soll aber eine externe IP von Standort B haben. Daher haben wir das externe Interface der OPNsense von Standort A mit einem Opt-Interface der OPNsense an Standort B gebridged und können so die IP des Standorts B an Standort A nutzen.

Server               OPNsense Standort A                      OPNsense Standort B
                     WAN: öff. IP 195.33.21.12/26 
öff. 166.32.43.201----WANBR: ohne weitere öff. IP --------------via Bridge-----WAN: öff. 166.32.43.200
     Netzmaske 24                                             Netzmaske 24                                           
                     privates LAN 10.1.61.1/24
 
                     Testmaschine: 10.1.61.17
                     Ping an 166.32.43.201

Das vtnet2-Interface und das WANBR-Interface bilden auf der OPNsense A die Bridge0
                     
1. Schritt: Testmaschine 10.1.61.17->166.32.43.201
2. Schritt: OPNsense A, LAN-Interface: 10.1.61.17->166.32.43.201
3. Schritt: OPNsense A, WAN-Interface: 195.33.21.12->166.32.43.201
4. Schritt: OPNsense B, WAN-Interface: 195.33.21.12->166.32.43.201
5a. Schritt: OPNsense A, WANBR-Interface TAP-Interface: 195.33.21.12->166.32.43.201
5b. Schritt: OPNsense A, Bridge0-Interface: 195.33.21.12->166.32.43.201
5c. Schritt: OPNsense A, vtnet2-Interface: nichts mehr zu sehen

Auf der OPNsense A gibt es sowohl für das WANBR-Interface als auch für das vtnet2-Interface "alles erlauben" Firewall-Regeln.

Mein Problem: Warum wird das Datenpaket im Bridge-Code verworfen?

Ein Ping von anderer Stelle im Internet funktionert.

Auch ein Ping von der OPNsense A aus funktionert, mit tcpdump ist in Schritt 5a und 5b dasselbe zu sehen (also 195.33.21.12->166.32.43.201, da ja auch die OPNsense A mit der Adresse 195.33.21.12 ins Netz geht), aber nun gibt es auch einen Schritt
5c. Schritt: OPNsense A, vtnet2-Interface: 195.33.21.12->166.32.43.201

Viele Grüße

Martin