Setup Frage CARP plus HA, zwei Internetzugänge (wovon einer nur eine IP stellt)

[Erdenkind]

Hallo,

ich bin ein neuer Nutzer der freien FW. Ich habe eine Designfrage:

-WAN: Internetanschluss mit /30 Subnetz, also nur eine IP verfügbar
-WAN2: LTE Router mit einem privaten /24 Subnetz, somit also genug IP Adressen für zwei OPNsense
-2 OPNsense Installationen, welche im HA Verbund arbeiten sollen

Wie ist hier die Vorgehensweise? Aktuell versuche ich: CARP auf dem LAN-Interface, 2 Gateways (eines weist auf das WAN Gateway, das andere weist auf das WAN2 Gateway.

Die OPNsense1 hat die IP des WAN direkt auf dem Interface, OPNsense2 hängt dort in der Luft mit irgendeiner IP, da ja nur eine statische im /30 genutzt werden kann. OPNsense1 und 2 haben ein Interface im WAN2 Bereich, da hier ja genug IP genutzt werden können.

Firewallregel mit Gateway auf die GW-Gruppe. NAT (hiding) LAN zu WAN und LAN zu WAN2. Habe einen Artikel gefunden, bei dem 3 Zustände in die FW Regelbasis aufgenommen werden:

1.W:Tier1, W2:Tier2
2. W:Tier1, W2:Ignorieren
3. W:igorieren, W2:Tier1

Die Regelbasis würde hier stark aufgebläht, wenn man aus den any Regeln dann dedizierte Regeln machen würde.

Wäre das so umsetzbar? In diversen Artikeln bleibt der Haken Default Gateway am primären gateway gesetzt. Stimmt das so? Oder darf keine Default Option gesetzt sein? Es wäre super, wenn ihr ggf. zu dem konkreten Fall die Konfigurationsschritte erläutern könntet!

[pguminski]

Hallo,

des selbige in etwa möchte ich auch bauen. Ich habe 2 APUs mit je 3 Interfaces, 2 ISPs (Telekom & MNet).

Ich möchte gerne die 2 APUs mit Opnsense per CARP hochverfügbar machen und gleichzeitig das WAN ebenso ausfallsicher.

Sollte dazu einfach eine APU am Provider-Router A und die zweite APU an Provider-Router B stecken und LAN-Seitig CARP eingerichtet werden?

Viele Grüße!

[JeGr]

An der Stelle der Einfachheit halber auf meine Antwort in https://forum.opnsense.org/index.php?topic=5823.0 verwiesen.

> Wie ist hier die Vorgehensweise? Aktuell versuche ich: CARP auf dem LAN-Interface, 2 Gateways (eines weist auf das WAN Gateway, das andere weist auf das WAN2 Gateway.

Sinnvollerweise:
WAN1 auf nen Hub/Switch und dort beide sensen drauf, dito für WAN2 und beide WANS auf beiden Sensen konfigurieren. Bei nur einer statischen IP siehe mein Link oben, geht ist aber unschön. Evtl würde es dann Sinn machen, das andere WAN mit einem größeren Netz als primäres WAN zu nutzen und WAN2 sekundär, damit die sensen beide einen nutzbaren Uplink haben ohne herumbasteln.

@pguminski
bitte nicht Threads mixen, da du wieder eine andere Ausgangslage hast und bspw. vielleicht nicht vom Problem mit nur einer statischen IP betroffen bist (oder gar doppelt?)

A auf 1 und B auf 2 ist aber kein sinnvolles CARP Setup, da ein sinnvolles Failover m.E. nicht stattfinden kann bzw. du so keine sinnvolle VIP konfigurieren kannst.

Grüße

[pguminski]

Hi,

ok ich mach mal ein neues Thema mit meinem Anliegen auf.

Grüße!