Aufbau Netzstruktur für CARP mit OPNsense

Guten Abend,

wir betreiben auf 2 ProxmoxVE Hosts jeweils eine OPNsense. Diese möchten wir mittels CARP hochverfügbar konfigurieren für die LAN/WAN Schnittstelle.

Folgender Aufbau ist geplant...


netz


Als Coreswitche setzen wir Dell N4032 ein im Fullstacking-Mode ein. Das VLAN-Routing läuft darüber.

Zu meiner Frage...

Gibt es eine Möglichkeit, 2 Switchports zu bündeln mit einer IP-Adresse? Oder gibt es für dieses Szenario eine Alternative, das man den CARP Mode für das LAN Interface realisieren kann?


Vielen Dank

Content-Key: 1281123773

Url: https://administrator.de/contentid/1281123773

Ausgedruckt am: 19.10.2021 um 17:10 Uhr

Mitglied: tikayevent
tikayevent 19.09.2021 aktualisiert um 22:13:28 Uhr
Goto Top
Es ist zwar schon elf Jahre her, dass ich das letzte Mal mit CARP gearbeitet habe (jetzt nutze ich VRRP, aber gleicher Zweck), aber da CARP ein First Hop Redundancy Protocol ist, ist es doch genau die Aufgabe von CARP, unter einer gleichbleibenden IP-Adresse den ersten Hop des Routings anzubieten und im Fehlerfall sowohl die IP-Adresse als auch die dahinterliegende MAC-Adresse an ein weiteres, noch funktionierendes System zu übergeben.
Mitglied: tech-flare
tech-flare 19.09.2021 aktualisiert um 22:18:30 Uhr
Goto Top
Zitat von @screemy:

Guten Abend,
Hallo

Zu meiner Frage...

Gibt es eine Möglichkeit, 2 Switchports zu bündeln mit einer IP-Adresse? Oder gibt es für dieses Szenario eine Alternative, das man den CARP Mode für das LAN Interface realisieren kann?
Ich verstehe gerade die Frage nicht?!


Du erstellt ein Interface mit je einer IP pro OPNsense

z.b:

LAN Sense 1 - 10.0.0.251
LAN Sense 2 - 10.0.0.252

Dann erstellt du eine VirtualIP 10.0.0.253 auf der Sense 1 und syncst das ganze. Nun läuft die Sense 1 als Primary und die Sense 2 als Backup und sind gemeinsam über die VirtualIP 10.0.0.253 ereichbar.

Entsprechende Firewallregeln musst du natürlich ebenfalls anlegen.

Achtung:

Bei Vmware Systemen muss man auf dem vSwitch den Promiscuous Mode und MAC Address Changes erlauben !

Wie sich dies bei Proxmox verhält, kann ich dir leider nicht beantworten

Ps.:

Das ganze funktioniert auch, wenn ihr eine CoreSwitch mit L3 Routing einsetzt.
Mitglied: screemy
screemy 20.09.2021 aktualisiert um 08:28:47 Uhr
Goto Top
Erstmal vielen Dank für eure Antworten....


Gibt es eine Möglichkeit, 2 Switchports zu bündeln mit einer IP-Adresse? Oder gibt es für dieses Szenario eine Alternative, das man den CARP Mode für das LAN Interface realisieren kann?
Ich verstehe gerade die Frage nicht?!


Mir geht es primär um die Konfiguration des gestackten Core-Switches. Da ich 2 Switch-Interfaces brauch (Te 1/0/3-Te2/0/3) mit einer IP Adresse, damit ich diese als Next-Hop in der OPNsense eintragen kann um in meine VLANs routen zu können...

Gibt es da eine Möglichkeit auf dem Switch mit einer virtuellen IP zu arbeiten oder L3 Channel-Group o.ä?
Mitglied: tikayevent
tikayevent 20.09.2021 um 09:10:50 Uhr
Goto Top
Viele Layer3-Switches beherrschen ebenfalls FHRP, meist ist es VRRP.

Aber normal würde man es an dieser Stelle mit einem Routingprotokoll machen. Also Firewall und Switches lernen per RIP, OSPF oder so voneinander.
Mitglied: aqui
Lösung aqui 20.09.2021 aktualisiert um 10:54:18 Uhr
Goto Top
Gibt es eine Möglichkeit, 2 Switchports zu bündeln mit einer IP-Adresse?
Ja, das geht natürlich !
Gehen wir mal davon aus das du einen Layer 3 Switch meinst denn IP Routing Funktionen auf Layer 2 geht bekanntlich natürlich nicht.
Das Feature heisst VRRP wie oben schon richtig bemerkt.
https://de.wikipedia.org/wiki/Virtual_Router_Redundancy_Protocol
Wie man es z.B. an einem Mikrotik Switch umsetzt kannst du hier sehen:
https://administrator.de/tutorial/mikrotik-vlan-konfiguration-ab-routero ...
Bei Cisco Switches z.B. HIER.

Für deine Dell Gurken beschreibt es das Handbuch in Kapitel: 38, Seite 1371 ff.
Ein Blick da hinein hätte den Thread hier überflüssig gemacht ! :-( face-sad

Wenn die Cores aber so oder so im Fullstack Mode arbeiten ist ein VRRP Design dann doch völlig überflüssig, denn die 2 Switches nutzen dann eh eine gemeinsame L3 Funktion Stack Member übergreifend. Sprich in einem Full Stack haben 2 Ports auf 2 Memberswitches im Backend immer eine gemeinsame L3 Engine. Das sollte auch bei Billigheimer Dell so sein ?! Es sei denn...
Das was du vermeintlich dann als "Full Stack" bezeichnest ist nur ein simples LACP Clustering der Units und kein Full Stack ?! Das o.a. Manaual redet aber von Stack ohne diese Einschränkungen.
Irgendetwas hast du hier also falsch verstanden vom Design oder der L3 Funktion an sich ?? An sich gesehen ist dein Konzept aber richtig und sinnvoll in einem HA Umfeld.
Mitglied: screemy
screemy 20.09.2021 um 13:56:22 Uhr
Goto Top
Wenn die Cores aber so oder so im Fullstack Mode arbeiten ist ein VRRP Design dann doch völlig überflüssig, denn die 2 Switches nutzen dann eh eine gemeinsame L3 Funktion Stack Member übergreifend. Sprich in einem Full Stack haben 2 Ports auf 2 Memberswitches im Backend immer eine gemeinsame L3 Engine. Das sollte auch bei Billigheimer Dell so sein ?! Es sei denn...

Und genau das war mein Denkfehler.... Bin von unterschiedlichen MAC´s ausgegangen....

Hab mir auch nochmal auf den Switch alle Ports ausgeben lassen und siehe alle Ports nutzen die selbe L3 MAC Address

Vielen Dank!
Heiß diskutierte Beiträge
question
Windows 11 Upgrade nicht möglichben1300Vor 1 TagFrageWindows 1114 Kommentare

Guten Morgen ! ich habe einen Gaming PC, mit folgende Spezifikationen: Leider kann ich diesen nicht auf Windows 11 upgraden: Welche Optionen bleiben mir, um ...

question
Was ich benötige ist ein guter Wechselrahmen 5,25"Lefty0815Vor 1 TagFrageFestplatten, SSD, Raid8 Kommentare

Hallo an alle, ich such mir noch einen Wolf :-) Was ich benötige ist ein Wechselrahmen 5,25" für eine zwei oder drei 3,5Zoll Festplatten (SATA ...

question
Exchange Server - Wege, anonymes Senden zu verbietenDerWoWussteVor 1 TagFrageExchange Server11 Kommentare

Ich grüße Euch! Ziel 1: Alle PCs sollen Warnmeldungen per E-Mail geskriptet und anonym versenden können. In diesen Skripten handelt das Computerkonto und im Skript ...

question
Neuinstallation NetzwerkBurQueVor 14 StundenFrageNetzwerkgrundlagen13 Kommentare

Hallo ich hab die Aufgabe bekommen ein Netzwerk in einem neuen Gebäude einzurichten bzw. mir dazu Gedanken zu machen. Raumsituation. Im Keller steht ein Serverschrank ...

question
WLAN Lösung für Gästehaus Vereinjohannes-meyerVor 1 TagFrageLAN, WAN, Wireless8 Kommentare

Hallo, ich betreue die IT eines Vereins, der zwei Gebäude mit Gästebetrieb betreibt. Es sind regelmäßig an die 30 bis 50 Geräte verbunden. Ich hab ...

question
SMTP Relay Server gelöst MacLeodVor 1 TagFrageExchange Server10 Kommentare

Hallo zusammen. Vorwort: Habe das hier bei Exchange eingeteilt, betrifft aber Mailserver Versand allgemein. Bei einem Kunden mit einem Kerio Mailserver werden neben dem üblichen ...

question
Multi-WAN-Netzwerk fürs StudentenwohnheimHutzeljaegerVor 8 StundenFrageLAN, WAN, Wireless17 Kommentare

Hallo allerseits. Für die Internetversorgung unseres Studentenwohnheims muss ich nun sehen, dass ich eine kostengünstige Lösung eines Multi-WAN Netzwerks hinbekomme, wohl am besten per Multi-WAN-Bonding. ...

question
Drei Fragen zum Internet Explorer gelöst UserUWVor 1 TagFrageWebbrowser4 Kommentare

1) Der IE lässt sich unter Windows 10 deaktivieren, aber nicht physisch deinstallieren. Heißt das, dass IE-Funktionalitäten "unter der Haube" auch von Windows 10 genutzt ...