OPNsense Wireguard CARP

Warnung

• Die offizielle OPNsense Dokumentation rät davon ab Wireguard im HA-Betrieb zu nutzen
• Der Wireguard Peer tendiert dazu das falsche Interface anzusprechen, nachdem ein Host im Cluster ausgefallen ist
• Bis OPNsense 23.7.6 würden sich alle HA-Nodes um die Verbindung zum Peer kämpfen, weil Wireguard implizit an alle Interfaces gebunden ist
• 23.7.6 implementiert CARP vhid Tracking für Wireguard, um dieses Verhalten einzudämmen
• High-Availability einer solchen Site-to-Site VPN funktioniert nur in eine Richtung.
• Nur Clients des HA-Clusters behalten die Verbindung bei Ausfall. Die Gegenseite muss die Verbindung manuell reinitiieren

Netzwerkplan

Konfiguration HA-Cluster

Konfiguration Wireguard

• Ähnlich zum Roadwarrior Setup, müssen auch hier die Instanzen und Peers angelegt werden

• Anschließend noch der Instanz einem Interface zuordnen

Firewall Regeln

Sychronisation

Auf den Slave-Nodes müssen die Interfaces noch manuell zugeordnet werden

Links

• https://docs.opnsense.org/manual/how-tos/wireguard-s2s.html