https://wiki.ixheim.de/index.php?action=history&feed=atom&title=OPNsense_HA_Erkl%C3%A4rung 2026-05-14T19:42:39Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://wiki.ixheim.de/index.php?title=OPNsense_HA_Erkl%C3%A4rung&diff=67158&oldid=prev 2026-02-20T15:23:41Z

<p>Die Seite wurde neu angelegt: „= OPNsense HA – Funktionsweise und Zusammenspiel von CARP, pfsync und XMLRPC = == Grundprinzip == * Ein OPNsense HA-Cluster besteht aus zwei Firewalls: **…“</p> <p><b>Neue Seite</b></p><div>= OPNsense HA – Funktionsweise und Zusammenspiel von CARP, pfsync und XMLRPC =<br /> <br /> == Grundprinzip ==<br /> <br /> * Ein OPNsense HA-Cluster besteht aus zwei Firewalls:<br /> ** Master (aktiv)<br /> ** Backup (passiv)<br /> <br /> * Beide Systeme besitzen:<br /> ** Eigene Interface-IP-Adressen<br /> ** Gemeinsame virtuelle IP-Adressen (VIPs)<br /> <br /> * Die VIPs sind die produktiv genutzten Gateway-Adressen im Netz<br /> * Clients kommunizieren ausschließlich mit diesen VIPs<br /> <br /> == CARP (Common Address Redundancy Protocol) ==<br /> <br /> * CARP stellt die gemeinsame virtuelle IP-Adresse bereit<br /> * Diese VIP wird immer nur von genau einem Knoten aktiv beantwortet<br /> * Dieser Knoten befindet sich im Zustand MASTER<br /> * Der andere Knoten befindet sich im Zustand BACKUP<br /> <br /> * Die Firewalls senden CARP-Advertisements über Multicast:<br /> ** IPv4: 224.0.0.18<br /> ** IPv6: ff02::12<br /> <br /> * Fällt der MASTER aus:<br /> ** Stoppen die Advertisements<br /> ** Der BACKUP erkennt dies<br /> ** Der BACKUP übernimmt automatisch die VIP<br /> ** Der BACKUP wird neuer MASTER<br /> <br /> * Für die Netze bleibt die VIP weiterhin erreichbar<br /> * Default Gateway und Dienste bleiben funktionsfähig<br /> <br /> == Virtuelle MAC-Adresse ==<br /> <br /> * Jede CARP-VIP besitzt eine eigene virtuelle MAC-Adresse<br /> * Diese MAC-Adresse „wandert“ beim Failover zwischen den Firewalls<br /> * Switches und Clients lernen die neue Zuordnung automatisch per ARP<br /> <br /> == pfsync (State Synchronisation) ==<br /> <br /> * pfsync synchronisiert die Firewall-Zustandstabelle (States)<br /> * Laufende TCP/UDP-Verbindungen werden übertragen<br /> <br /> * Beispiel:<br /> ** Client hat aktive HTTPS-Verbindung<br /> ** MASTER fällt aus<br /> ** BACKUP übernimmt VIP<br /> ** BACKUP kennt die Session bereits<br /> ** Verbindung bleibt bestehen<br /> <br /> * Ohne pfsync:<br /> ** Alle Sessions würden abbrechen<br /> <br /> == Synchronisationsnetz (SYN Interface) ==<br /> <br /> * Dediziertes Interface zwischen beiden Firewalls<br /> * Wird ausschließlich für:<br /> ** pfsync (State Sync)<br /> ** XMLRPC (Config Sync)<br /> <br /> verwendet<br /> <br /> * Keine CARP-VIP auf diesem Interface!<br /> <br /> == XMLRPC (Configuration Synchronisation) ==<br /> <br /> * Synchronisiert die Konfiguration vom MASTER zum BACKUP<br /> <br /> Beispiele:<br /> ** Aliases<br /> ** NAT-Regeln<br /> ** Firewall-Regeln<br /> ** Virtual IPs<br /> ** VPN-Konfigurationen<br /> ** Zertifikate<br /> <br /> * Funktioniert ausschließlich:<br /> ** MASTER → BACKUP<br /> <br /> * Der BACKUP führt keinen aktiven Push durch<br /> <br /> == Rollenverteilung ab OPNsense 24.7 ==<br /> <br /> ;MASTER<br /> * Besitzt XMLRPC-Konfiguration:<br /> ** Synchronize Config<br /> ** Remote Username<br /> ** Remote Password<br /> ** Services to synchronize<br /> <br /> ;BACKUP<br /> * Keine XMLRPC-Konfiguration<br /> * Felder bleiben leer!<br /> <br /> == Zusammenspiel im Betrieb ==<br /> <br /> ;Normalbetrieb<br /> * MASTER:<br /> ** Beantwortet VIP<br /> ** Verarbeitet Traffic<br /> ** Synchronisiert Konfiguration per XMLRPC<br /> ** Synchronisiert States per pfsync<br /> <br /> * BACKUP:<br /> ** Lauscht auf CARP<br /> ** Empfängt Config Updates<br /> ** Empfängt State Updates<br /> <br /> ;Fehlerfall (MASTER fällt aus)<br /> * BACKUP erkennt fehlende CARP-Advertisements<br /> * Übernimmt VIP<br /> * Wird MASTER<br /> * Besitzt:<br /> ** Aktuelle Konfiguration<br /> ** Aktive Session-Zustände<br /> <br /> * Failover erfolgt unterbrechungsfrei<br /> <br /> == Failback ==<br /> <br /> * Ursprünglicher MASTER kehrt zurück<br /> * Übernimmt VIP wieder (abhängig von advskew)<br /> * Synchronisiert States erneut<br /> <br /> == Promiscuous Mode (Virtualisierung) ==<br /> <br /> * In virtualisierten Umgebungen erforderlich<br /> <br /> ;Grund<br /> * CARP verwendet virtuelle MAC-Adressen<br /> * Hypervisor verwirft fremde MAC-Adressen standardmäßig<br /> <br /> ;Ohne Promiscuous Mode<br /> * CARP-Frames erreichen den Partner nicht<br /> * VIP wird nicht korrekt übernommen<br /> * HA-Funktion gestört</div>

Thomas.will