HA - zwischen physikalischer FW und VM

[JuliaJoy]

Hallo an alle,

Ich bin neu hier und habe folgende Frage:

Ist es möglich ein HA System zu bauen mit einer VM mit opnsense und einer physikalischen Opnsense auf einem apu Board?

Liebe Grüße Julia


Gesendet von iPhone mit Tapatalk

[Monviech (Cedrik)]

Ja es ist möglich, aber es passieren viele komische Sachen, vor allem wenn States synchronisiert werden. Ich würde es eigendlich nur zwischen zwei gleichen VMs oder zwei gleichen Hardwaren empfehlen.

Ich habe mal ein halbes Jahr eine Hardware Opnsense mit einer VM Opnsense auf ESXi mit PCIe Passthrough im HA betrieben und hatte immer wieder komische Phänomene, vor allem mit IPv6 und IPsec.

Zum basteln ist es interessant aber ich würde es niemals bei mir daheim oder geschäftlich verwenden. Nur noch gleiche Hardware

https://docs.opnsense.org/manual/how-tos/carp.html
Hier steht dass man bei unterschiedlichen Netzwerktreibern Probleme mit State Sync hat. Selbst mit LAGG hatte ich trotzdem oft Probleme.

[JuliaJoy]

Hey,

Vielen Dank für die Antwort.

Ja die Idee war das apu Board, was zur Zeit die Firewall macht, als Ausfallgerät zu lassen und die vm als primäres. Da die Leistung auf dem Server vielfach höher ist man und ein paar Funktionen mehr schalten kann.

Aber wenn du Probleme hattest, ist das nix für produktiv.


Gesendet von iPhone mit Tapatalk

[Monviech (Cedrik)]

Ich mache es für die Ausfallprävention so, dass ich die VM auslasse. Immer wenn gepatched wird fahre ich die VM hoch, synchronisiere die Konfiguration. Patche die VM und die Hardware. Danach fahre ich die VM wieder runter. Sozusagen Cold Standby. Wenn was passiert kann ich sie schnell hochfahren.

An sich finde ich das ein gutes Konzept. Beide die ganze Zeit anzuhaben hat sich aber als sehr Troubleshooting freudig herausgestellt.

An sich könnte man sich den Hot Standby überlegen, wenn man die State Synchronisation auslässt.

[JuliaJoy]

Ja den State Sync wäre ja „nur“ um reibungslos von einer auf die andere zu wechseln, wenn ich das richtig verstanden habe.

Das wäre natürlich an sich optimal, daher wäre die Hot Standby Lösung ohne Sync dann ja noch ne spannende Nummer.

Vielleicht sollte man das mal ausprobieren, wie das läuft.


Gesendet von iPhone mit Tapatalk