CARP auf Hyper-V Server mit NIC Teaming

[liceo]

Sollte mal jemand auf das gleiche Problem stossen, hier eine kleine Hilfe bei Hyper-V Deployments in Zusammenhang mit CARP und NIC Teaming.

Ich versuche seit ein paar Tagen, High Availability zum laufen zu kriegen. Die opnsense werden als VMs auf einem Hyper-V Host betrieben. Der Hyper-V Host (Server 2019) hat physische Netzwerkanbindungen auf einen oder zwei Switches mittels dem NIC Teaming Feature vom Windows Server 2019.

Nicht zu vergessen: Damit CARP funktioniert, muss auf den VM-NICs das MAC Address Spoofing aktiviert werden, aber das ist ja bekannt.

Beim Einrichten der ersten Virtual CARP IP sollte diese auf Status "Master" sein. In der Realität hat der Status aber alle paar Sekunden von Backup auf Master gewechselt (flapping).

Die Ursache war die NIC Teaming Konfiguration auf dem Hyper-V Host. Teaming Mode "Switch independent" und Load balancing Mode "Dynamic" funktioniert nicht mit CARP. Mit dieser Config ist das Resultat etwa 2/3 Packet-Loss auf der virtuellen IP.

Teaming Mode "Switch independent" funktioniert im Modus "Adress Hash" oder "Hyper-V Port". Allerdings dauert der Failback von Backup zu Master etwa 15s.

Ideal ist der klassische Modus LACP: Hier funktioniert der Load Balancing Mode "Dynamic". Mit LACP müssen natürlich die Switch-Ports konfiguriert werden und es lässt sich nur ein Switch anbinden (ausser es sei denn ein "Stack").

[BlueCasket]

Hallo liceo,

aller-aller besten Dank für diesen wirklich wertvollen Hinweis. Wir hatten exakt das gleiche Problem und das ist die Lösung!
Ohne den Post hätten wir noch sehr lange suchen können! Perfekt!! Danke!!!

[liceo]

Gerne (Sorry, habe den Post erst jetzt gesehen ;-)

[BlueCasket]

Nochmal ein Nachtrag, falls jemand eine ähnliche Konfiguration verwendet:

Wir verwenden ein Windows Server 2019 Hyper-V Cluster.
Nachdem wir mit den von licoo beschriebenen Problemen zu kämpfen hatten, haben wir das NIC-Teaming auf Switchunabhängig und den Lastausgleichsmodus Adresshash verwendet. Dies hat zunächst anscheinend funktioniert.
Als wir dann Maschinen im Cluster verschoben haben, kam es zu dem Effekt, dass die Carp-Adresse auf beiden HA-Routern in den Backup-Modus wechselte und nicht mehr zu erreichen war.
(Möglicherweise ist die Ursache, dass beim Adresshash der ausgehende Verkehr über alle Adapter verteilt wird, während der eingehende Verkehr über einen (fixen) Adapter läuft.)

Mit dem Lastenausgleichsmodus "Hyper-V-Port" konnten wir eine (bisher  ) stabile Konfiguration aufbauen.