OPNsense HA

Vorbereitung

• Zwei OPNsense-Installationen mit jeweils mind. 3 Netzwerkkarten
• Die Anzahl der Netzwerkkarten muss auf beiden Maschinen gleich sein
• In unserem Beispiel haben wir zusätzlich eine DMZ

Die Reihenfolge und Anzahl der Netzwerkschnittstellen muss gleich sein!

• Empfehlung für beide Maschinen:
  • WAN (VLAN 1)
  • SYN (VLAN 2)
  • LAN (VLAN 3)
  • DMZ (VLAN 4)
• Am Anfang sollten so wenige Dienst wie möglich laufen

IP Adressen der Master Firewall

• em0 (WAN): 10.0.0.10/24
• em1 (SYN): 10.10.0.10/24
• em2 (LAN): 10.20.0.10/24
• em2 (DMZ): 10.30.0.10/24

IP Adressen der Backup Firewall

• em0 (WAN): 10.0.0.11/24
• em1 (SYN): 10.10.0.11/24
• em2 (LAN): 10.20.0.11/24
• em2 (DMZ): 10.30.0.11/24

Firewall Regeln (beide Firewalls)

• Auf allen Schnittstellen außer dem SYN-Interface müssen CARP Pakete akzeptiert werden
• Dazu muss im Menü Firewall => Rules => {WAN, LAN, DMZ} Allow-Regeln erstellt werden, die auf das CARP-Protokoll matchen
• Für das CARP-Interface kann man eine Standard-Allow-Regel erstellen, die alles erlaubt

Virtuelle IPs (Master Firewall)

• Die virtuellen IPs werden von den Knoten des HA-Clusters geteilt, sobald ein Ausfall erkannt wird
• Somit wird dafür gesorgt, dass die virtuelle IP immer erreichbar ist
• Die virtuelle IP wird nur auf der Master Firewall eingestellt und an die Backups mitgeteilt
• Dazu muss man im Menü Interfaces => Virtual IPs => Settings wieder an allen bis auf das SYN-Interface, die eigentlich gewünschten IPs vergeben
• Über das [+] auf der rechten Seite muss man folgende Einträge machen:

virtuelle WAN IP

• • Mode CARP
  • Interface: WAN
  • Address: 10.0.0.1/24
  • Virtual Password: *****
  • VHID Group: 1
  • Advertising Frequency: 1
  • Description: Virtual WAN IP

virtuelle LAN IP

• • Mode CARP
  • Interface: LAN
  • Address: 192.168.178.1/24
  • Virtual Password: *****
  • VHID Group: 2
  • Advertising Frequency: 1
  • Description: Virtual LAN IP

virtuelle DMZ IP

• • Mode CARP
  • Interface: DMZ
  • Address: 172.16.0.1/24
  • Virtual Password: *****
  • VHID Group: 3
  • Advertising Frequency: 1
  • Description: Virtual DMZ IP

Source NAT (Master Firewall)

• Da die virtuelle IP für ausgehende Verbindungen benutzt werden soll, muss die automatische Regelgeneration ausgeschaltet werden
• Im Menü Firewall => NAT => Outbound muss die Option "Manual outbound NAT rule genereation" ausgewählt werden
• Dann die folgenden Regeln erstellen:
  • Interface: WAN
  • Source address: LAN net
  • Translation / target: 10.0.0.1 (Virtual WAN IP)

High Availability Konfiguration (Master Firewall)

• Die eigentliche HA Einstellung erfolgt über das Menü System => High Availability => Settings:
  • Synchronize States auswählen
  • Synchronize Interface: SYN
  • Synchronize Peer IP: 10.0.0.11
  • Synchronize Config to IP: 10.0.0.11
  • Remote System Username: root
  • Remote System Password: *****
  • Dashboard auswählen
  • Firewall Rules auswählen
  • Aliases auswählen
  • NAT auswählen
  • Virtual IPs auswählen

High Availability Konfiguration (Backup Firewall)

• Hier darf im Menü System => High Availability => Settings nur folgendes eingestellt werden:
  • Synchronize States ausgewählen
  • Synchronize Interface: SYN
  • Synchronize Peer IP: 10.0.0.10

Endergebnis

• Nachdem beide Firewalls neugestartet wurden, sollte nun der Master über die virtuelle IP ansprechbar sein
• Zusätzlich sollte die zweite Firewall den Status "Backup" im Menü System => High Availability => Status anzeigen

Troubleshooting

• High Availability Status Seite lädt nicht: Die Kommunikation zur Weboberfläche der anderen Firewall ist in irgendeinerweise blockiert