Wider der Zwangstrennung

Wider der Zwangstrennung

Die Internetleitung steht, das Wetter sitzt - und dann ist alles kurzfristig vorbei: Alle VPNs weg, alle Datenübertragungen brechen ab. Des Rätsels Lösung: Die Zwangstrennung.

Bei DSL-Leitungen hat man sich daran gewöhnt: Zwangstrennung spätestens nach 24 Stunden. Früher hat man vor dem Netzteil des DSL-Modems eine Zeitschaltuhr gesteckt, welche das Modem irgendwann mitten in der Nacht per Zwangsreset zur Neueinwahl gezwungen hat. Heute ist das in der Regel viel eleganter gelöst: Jeder moderne Internetrouter bietet die Möglichkeit der automatischen Neueinwahl zu einer bestimmten Uhrzeit. In der Regel passiert dies mitten in der Nacht. Die Art und Weise mag sich gewandelt haben - der Wunsch, die Zwangstrennung der Neueinwahl auf einen Zeitpunkt zu legen, wo dieser nicht störend ist, blieb der Gleiche.

Und bei OPNsense? Die Einwahl per Glasfaser bzw. FTTH erfolgt wie bei DSL in der Regel über PPPoE. Bei den Einstellungen zu PPPoE sucht man eine steuerbare Zwangstrennung allerdings vergebens. Nicht, weil OPNsense das nicht könnte - ganz im Gegenteil: OPNsense kann deutlich mehr als nur die Zwangstrennung. OPNsense ist es letztendlich egal, warum man eine Netzwerkkarte neu initialisieren möchte. In unserem Fall ist es aber das, was wir haben wollte: Eine erneute Initialisierung der PPPoE Netzwerkkarte verbindet eben diese neu - und wählt somit neu ein.

Diese Einstellung findet sich unter System/Settings/Cron: Einfach einen neuen Cronjob anlegen vom Typ "Periodic interface reset" und als Parameter gibt man den Device-Namen an wie zum Beispiel "wan" oder "opt1". Auf die Uhrzeit gelegt, wo man dies haben möchte und das war es bereits. Einfach, oder?

Periodic Interface Reset

Noch mehr Infos zu geplanten Aufgaben wie cron oder dem "Periodic Interface Reset" gewünscht? Aber gerne doch, die gibt es im Handbuch: https://docs.opnsense.org/manual/settingsmenu.html#cron.

Quellen zu Bildern von Dritten

BGP für IpSec VPNs

BGP für IpSec VPNs

Zu Zeiten von Cloud und Co. stellen sich immer mehr Unternehmen die Frage, was passiert, wenn die Firewall einmal ausfallen sollte. Kein Problem, die Lösung ist mittels OPNsene einfach: Ein HA-Cluster muss her. Und der ist bereits bei OPNsense enthalten. Das ist toll, die Firewall ist verfügbar. Oder auch nicht sollte die Internetleitung ausfallen. Aber auch hier: OPNsense kann Multi-WAN, kann also mehrere Internetleitungen verwalten. Nur was ist, wenn man auf dieser Grundlage zu einem entfernten Ziel nicht nur einen, sondern zwei VPN-Tunnel öffnen möchte? Also wenn Tunnel 1 über Leitung 1 ausfällt, dann wechsle automatisch auf den Backup-Tunnel 2 auf Leitung 2.

Dieses Szenario kann man inzwischen regelmäßig finden. Oftmals lautet die Lösung für dieses Problem, dass sich im Falle eines Ausfalls ein Admin auf die Firewall verbindet und den Tunnel auf der ausgefallenen Leitung 1 manuell deaktiviert und den bereits konfigurierten, aber inaktiven, Backup-Tunnel auf Leitung 2 aktiviert. Und sobald die Leitung 1 wieder da ist das gleiche Spiel nochmals. Nur andersherum.

Doch wozu? OPNsense bringt für solche Szenarien alles mit, um automatisch den VPN-Tunnel schwenken zu lassen. Alles, was man tun muss, ist unter System/Firmware/Plugins das Plugin os-frr installieren.

Zwischen Firewall und VPN erscheint nun im Menü der Punkt Routing. Und hier ist alles enthalten, was man für die Lösung dieses Problems benötigt: Routing Protokolle wie zum Beispiel RIP, OSPF und BGP.

Routing Protokolle helfen auf Routern alle verfügbaren Wege zum Ziel zu finden und den Besten als aktiven Weg zu verwenden. Und im Falle eines Ausfalls wird die Route ins Ziel automatisch auf die jetzt beste Alternative geschwenkt.

Oder konkret für unser Beispiel zum Textanfang: Mittels BGP wählt eine OPNsense Firewall automatisch immer den Besten IpSec Tunnel aus. Und im Falle eins Aufalls schwenkt es automatisch auf den Backup-Tunnel. Und zurück, sobald die Leitung wieder verfügbar ist.

Routing Plugin

Und dies war nur ein einfaches Beispiel, welches zeigen soll, wie man so etwas mit OPNsense lösen kann. Die Verfügbarkeit von Routing Protokollen eröffnen beinahe ungeahnte Möglichkeiten mit der die Firewall automatisch immer den Besten Weg zum Ziel findet. Auch dann, wenn gerade mal kein Admin erreichbar ist, welcher von Hand auf die Backupleitung schwenkt.

Quellen zu Bildern von Dritten