Client1 an WAN binden, Client2 an WAN2 binden?

[lxr]

Hallo zusammen,

ich habe 2x Telekom VDSL und beide Gateways (WAN/WAN2) auf Load Balancing eingestellt.
Funktioniert schon mal prächtig.
Nun hängen im Netzwerk aber zwei Fritzboxen (VoIP) als Clienten.
Jede Fritzbox muss zwingend mit dem passenden WAN verunden sein, ansonnsten registrieren sich die entsprechenden VoIP Nummer nicht.
Wie kann ich die Pakete entsprechend routen, wenn sich beide Boxen im gleichen IP Adressbereich befinden?

[JeGr]

> Wie kann ich die Pakete entsprechend routen, wenn sich beide Boxen im gleichen IP Adressbereich befinden?

Mit beide Boxen sind die beiden Fritzen gemeint die in deinem LAN hängen?

> Telekom VDSL

Die beiden Telekom VDSLs baust du mit Modems direkt auf? Oder stehen da Router davor?

> Wie kann ich die Pakete entsprechend routen, wenn sich beide Boxen im gleichen IP Adressbereich befinden?

Deine beiden DSL Lines sollten je ein Gateway erzeugt haben mit dem sie mit dem Internet sprechen. Wenn direkt DSL dann via PPPoE, mit Router davor, dann DHCP/static IP Gateways. Anyway, beide sollten da sein, sonst könntest du ja kein LoadBalancing GW als GW Group erstellen.

Jetzt nimmst du dir die beiden Fritzen, verpasst ihnen ne statische IP im LAN (oder eine semi statische via DHCP Reservierung) und erstellst eine Regel weit oben auf dem LAN Interface (damit nicht versehentlich was anderes davor greift) mit der jeweiligen Source IP der FB1 und FB2 und schickst ihren Traffic an Destination Any (oder ggf. eingrenzen wenns nur um VoIP geht und die Gegenstellen bekannt sind) jeweils über das WANGW1/2 die auch in der GW Gruppe genutzt sind. Also eine policy based rule. Damit zwingst du dann Traffic von Box 1 via WAN1 und Box 2 via WAN2 raus. Noch prüfen, dass deine Outbound NAT korrekt eingestellt ist, beide WANs sauber NATtet und da VoIP beide Source IPs ausgehend nur auf WAN1/2 je nach Box raus dürfen UND static Port enabled haben (sonst reagiert VoIP höchst unangenehm).

Das sollte es für outbound Traffic dann gewesen sein.

Cheers
\jens

[lxr]

     : VDSL Telekom            : VDSL Telekom
                 |                                       |
            .----+----.                         .----+----.
         | DGA4132 | WAN              | Vigor166| WAN2
            '----+----'                          '----+----'
       |                                        |
                 |              .----------.            |
           igb1  +------| OPNsense |------+   igb2   (intel nic (igb0 bis igb3) & realtek nic onboard (re0))
                       '----+-----'
                                      |
                         re0 LAN | 192.168.1.1/24
                                      |
                                .-----+------.
                              | LAN-Switch |
                                '-----+------'
                                        |
                        +-----------+------------+-------------+ Clienten /Server / AP ...
                         :                               :
 Static            .---+---.                     .--+--.  Static
192.168.1.5 | 7590   |                 | 7490 | 192.168.1.4
                     '---+---'                     '--+--'


OPNsense 21.7.2_1-amd64
FreeBSD 12.1-RELEASE-p20-HBSD
OpenSSL 1.1.1l 24 Aug 2021


Ich habe gestern (vor deinem Post) noch viel mit der Firewall rumprobiert, es aber leider nicht hinbekommen. Heute nacht hatte WAN 20% Packetloss, und ich hatte sogar probleme auf die Weboberfläche zuzugreifen.
Dann habe ich mich heute morgen dazu entschlossen LAN von igb0 auf re0 zu legen, um dann festzustellen, dass WAN2 im Load Balancing (WAN & WAN2 jeweils als TIER1) vielleicht doch nicht richtig funktioniert hat, weil mein Test nur aus anpingen der Adressen bestand, statt eines ordentlichen Datentransfers.

Als Anleitung habe ich mich an https://www.thomas-krenn.com/de/wiki/OPNsense_Multi_WAN#Gateway_Gruppe gehalten. (bzw https://docs.opnsense.org/manual/how-tos/multiwan.html)

Ich kann die Netzwerkkabel untereinander tauschen (igb1 zu DGA4132) && (igb2 zu Vigor166) bzw (igb1 zu Vigor166) (igb2 zu DGA4132). Beide WANs verbinden sich und bekommen auch jeweils eine IP Adresse.

Aber sobald ich geziehlt WAN2 z.B. nur an meinem PC (192.168.1.9 static) verwenden will passiert nicht wirklich etwas.

Wenn ich eine beliebige Webseite anpinge, wird der Namen zwar zur passenden IP aufgelöst, aber dann erhalten ich nur noch Zeitüberschreitung der Anforderung.

Man ist ja verzweifelt und probiert einfach alles aus, ich hab die WANs dann noch einzeln als Gruppe angelegt, geht natürlich auch nicht.

Firewall: NAT: Outbound steht auf Automatic

Wenn ich richtig gelesen habe sollte das opnsense-patch 0e2751d ja schon in der aktuellen Version enthalten sein.

Jetzt muss ich erst mal alles wieder Rückbauen, damit alle Telefone funktionieren.

[lxr]

Teilweise zurückgebauter Zustand damit die Telefone funktionieren 
 VDSL Telekom  <->  DGA4132 | WAN  <-> igb1   OPNsense  re0 LAN <-> Switch <-> clienten/server/ap/7590

 VDSL Telekom  <->  Vigor 166 | WAN  <-> Fritzbox 7490 VoIP

[JeGr]

Wenn ich deine GW Liste anschaue könnte(!) es durchaus noch ein anderes Problem geben. Deine beiden PPPoE GWs sind identisch. Du bekommst also nicht unterschiedliche IPs, sondern an jedem PPPoE das gleiche GW was dann die Routing Tabelle ziemlich durcheinander werfen kann/könnte.

Da bin ich mir gerade unschlüssig, ob das sauber laufen kann, da PBR ja direkt auf das Interface zielt könnte es gehen, aber das muss man mal im Hinterkopf halten, dass das evtl. wegen gleichem Upstream so nicht klappen könnte. Hatte ich schon länger nicht mehr den Fall.

[lxr]

Scheint das gleiche Problem zu sein. ( Ältere Version.)
https://forum.opnsense.org/index.php?topic=15694.0
Same-gateway-different-interfaces doesn't work as per FreeBSD. Your only chance is to use VIPs/1:1 NAT from one consolidated WAN interface.
Leider verstehe ich nicht was gemeint ist. Hättest du eine Idee?
Oder soll ich lieber ein neues, problemspezifisches, Topic aufmachen?

[JeGr]

Da stehe ich gerade auch auf dem Schlauch, was Franco damit genau meint, aber vielleicht kann er das hier nochmal in deutsch ausführen

Ansonsten bleibt dir natürlich noch die Möglichkeit, ein DSL statt direkt auf der Sense mit vorgeschaltetem Router zu betreiben, dann sollte das kein größeres Problem mehr sein. Also wenn dein(e) Modem(s) Router Mode haben und einen exposed Host definieren können (wirklich jedes Paket auf IP X einfach stumpf weiterschicken), könnte man ein WAN darauf umstellen und das dann so lösen.