[SOLVED] OPNSense HA zusätzliche virtuelle IP Alias im LAN funktioniert nicht

[guenti_r]

Hallo allerseits,

habe hier ein "klassisches" HA-Setup wie aus dem Lehrbuch.

WAN über Carp ist ein /29 Netz, da funktionieren IP Alias so wie gewünscht.
Aber sobald ich im LAN einen zusätzlichen IP Alias anlege, fällt der Master aus und Backup wird aktiv, aber unstabil.
Ist das normal?

[Patrick M. Hausen]

Alias oder CARP-Adresse?

[guenti_r]

LAN ist CARP virtual LAN IP -> 192.168.1.1/16
Daher wollte ich einen IP Alias hinzufügen (auf vhid3).

Wie schon erwähnt, WAN-seitig (vhid1) funktioniert das einwandfrei, aber nicht am LAN.

[JeGr]

> Daher wollte ich einen IP Alias hinzufügen (auf vhid3).

Nein, wenn du eine zusätzliche IP auf dem LAN willst die redundant ist, muss es entweder ebenfalls eine CARP IP auf dem LAN Interface sein - sonst kann sie ja nicht failovern - oder (was leider AFAIR OPNsense nicht unterstützt in der UI) es wird ein IPAlias auf die vorhandene LAN CARP IP gelegt.

Andernfalls erzeugst du einen Alias der nicht repliziert wird und nur auf dem Master existiert und der bringt deinen Cluster natürlich in Schieflage weil dann auf dem LAN eine zusätzliche IP aber nur auf einem Node aufliegt.

BTW: ein LAN mit /16? Sollte man dringend überdenken.

Cheers

[guenti_r]

> Nein, wenn du eine zusätzliche IP auf dem LAN willst die redundant ist,
> muss es entweder ebenfalls eine CARP IP
> auf dem LAN Interface sein - sonst kann sie ja nicht failovern - oder (was leider AFAIR OPNsense nicht
> unterstützt in der UI) es wird ein IPAlias auf die vorhandene LAN CARP IP gelegt.

Ok. Komischerweise funktionieren die Aliases aber WAN-seitig einwandfrei inkl. failover.
Wenn ich zB. einen zusätzlichen anlege, ist er auch sofort an der Backup-FW ersichtlich (und funktioniert auch bei Failover).

> Andernfalls erzeugst du einen Alias der nicht repliziert wird und nur auf dem Master existiert und der bringt
> deinen Cluster natürlich in Schieflage weil dann auf dem LAN eine zusätzliche IP aber nur auf einem Node
> aufliegt.

Siehe oben. Frage mich, warum das LAN-seitig nicht funktioniert.

> BTW: ein LAN mit /16? Sollte man dringend überdenken.

Genau deshalb ja die Übung, musste ein RZ-Netz mit einem Fortigate-Cluster auf OPNSense portieren 
Natürlich will ich das /16 weg haben, daher ja meine Eingangsfrage.

Bedeutet, ich muss am LAN eine zusätzliche CARP IP anlegen an der selben physischen NWK?
Muss ich dann eine neue VHID-Gruppe anlegen?

[Patrick M. Hausen]

Bedeutet, ich muss am LAN eine zusätzliche CARP IP anlegen an der selben physischen NWK?
Muss ich dann eine neue VHID-Gruppe anlegen?

Ja und ja.

[guenti_r]

Ja und ja.

Dachte es mir schon, Danke!