IPSec HA und mit zwei Static IP's möglich?

[c-mu]

Hallo Community,
ich habe an einem Standort zwei OPNSense 19.7.2 im HA Setup laufen. Zur Zeit wird ein S2S VPN Tunnel via OpenVPN aufgebaut. Funktioniert auch tadellos.

Nun möchte ich aus Performance gründen auf IPSec umstellen, da ich dies sowieso schon für die meisten anderen Niederlassungen so betreibe. Jetzt stellt sich mir die Frage:

beide OpnSense Server gehen mit einer public und static IP ins Internet. Dem OpenVPN ist das egal, da hier via Zertifikate und PSK sichergestellt wird, dass es seine Richtigkeit hat. Aber IPSec verlangt ja eine Public IP des Remote Gateways.

Habt ihr einen Vorschlag, wie ich das lösen kann? Kurze Überlegung war, einfach zwei IPSec Tunnel aufzubauen, aber das macht das Routing zum Zielnetz schwierig oder ggf. sogar unmöglich.

Nächste Überlegung war, via DynDNS Dienst die IP zu einem FQDN zu aktualisieren, aber kann ich verhindern, dass der HA Slave seine IP einträgt, solange der Master Up and Running ist?

Denke ich zu kompliziert?
Danke für Anregungen!

[mimugmail]

Public und static heißt du hast 2 WANs?

[c-mu]

Korrekt!

[mimugmail]

Dann mit IKEv2 und respond-only und DynDns

[c-mu]

Okay klingt gut.
Bzgl DynDNS: bin da jetzt noch nicht auf der Höhe: beim DynDNS dann zwei IP's hinterlegen? In diesem Fall brauche ich gar keinen DynDNS sondern registriere mir einfach eine subdomain und hinterlege die beide IP's.
Wenn tatsächlich nur eine IP hinterlegt sein darf: sorgt der HA Mode vom OpnSense zufällig dafür, das nur der Master seine IP bei einem der Dienstleister registriert? Weißt du das?

[mimugmail]

Wenn OPNsense Client ist kannst du nur eine IP oder DNS hinterlegen, also brauchst du DynDns damit im Falle eines Wechsels die neue IP bekannt ist. Gibt natürlich einen delay, aber geht nicht anders. Manche Hersteller bieten auch ne Backup IP an, aber kommt halt auf die Gegenstelle an

[c-mu]

Okay ich bin jetzt soweit, dass die beiden Server im HA Mode DynDNS eingerichtet haben und offensichtlich nur der Master das Update pusht, das ist schonmal gut.

Als nächstes werde ich dann einen IPSec HA mit der DynDNS einrichten und schauen, wie lange der Slave braucht um die IP zu aktualisieren + wie schnell "das Internet" davon erfährt, wenn der Master aus ist. Ich denke mit ein paar Minuten delay können die Niederlassungen gut leben. Alles besser als erst einen Service vor Ort zu bestellen oder neue Hardware hinzuschicken.

Danke soweit!