jannik2018
Goto Top

Keepalived mit IPFire

Hallo zusammen,

ich plane derzeit folgendes Netzwerksetup.

lanipf

Ich würd gerne den Keepalived so Konfigurieren, dass bei Ausfall des IPFire-01 der ganze Datenvekehr über IPFire-02 läuft.

Standartmäßig soll der Datenvekehr nur über IPFire-01 laufen.

folgendes habe ich bisher dazu gefunden:

https://www.ipfire.org/docs/addons/keepalived

Wie muss ich den Keepalived dafür konfigurieren?

Viele Grüße

Jannik

Content-ID: 62060454358

Url: https://administrator.de/contentid/62060454358

Ausgedruckt am: 21.11.2024 um 20:11 Uhr

11078840001
11078840001 25.01.2024 aktualisiert um 16:08:40 Uhr
Goto Top
Hallo,
der Abschnitt Use Case VRRP im oben genannten Link https://www.ipfire.org/docs/addons/keepalived macht das was du willst.
Wie muss ich den Keepalived dafür konfigurieren?
Steht ja auf der oben genannten Seite sehr detailliert beschrieben, wo liegt dein Problem?

Gruß abm
Jannik2018
Jannik2018 26.01.2024 aktualisiert um 14:52:34 Uhr
Goto Top
Mir ist die Zuordnung zu den IP Adressen nicht ganz klar muss die Gateway IP des Lan = die Virtual IP sein?
und wie ist das mit der IP des Grünen Interface muss es beides die 1.1 sein?
11078840001
11078840001 26.01.2024 aktualisiert um 15:39:33 Uhr
Goto Top
Zitat von @Jannik2018:

Mir ist die Zuordnung zu den IP Adressen nicht ganz klar muss die Gateway IP des Lan = die Virtual IP sein?
Ja, die Virtual IP ist bei beiden Routern gleich diese ist immer das Gateway für die Clients!
Bei einem Failover meldet sich dann einfach nur die jeweils noch aktive IPFire per ARP auf dieser IP. Im Normalzustand meldet sich nur der Master per ARP, auf dieser IP nur wenn der down ist (im Failover Fall), übernimmt der Backup-Router und meldet sicb dann per ARP bei Anfragen an die Virtual IP.
Standard VRRP Procedure

und wie ist das mit der IP des Grünen Interface muss es beides die 1.1 sein?
Jede IPFire bekommt als erstes eine physische IP aus dem Subnetz, also bspw. 192.168.1.2 für die erste und 192.168.1.3 für die zweite, für die Virtual VRRP IP kannst du dann bspw. die 192.168.1.1 nehmen, diese muss auch auf beiden IPFires gleich sein, wichtig ist auch das diese IP noch nicht im Netz belegt ist. Standard-GW für die Clients ist dann immer die VirtualIP.
11078840001
11078840001 26.01.2024 aktualisiert um 15:49:26 Uhr
Goto Top
Auch mal was zu den Grundlagen lesen
https://de.m.wikipedia.org/wiki/Virtual_Router_Redundancy_Protocol

An dieser Stelle setzt das VRRP an. Mehrere physische Router werden zu einer logischen Gruppe zusammengefasst, die sich im Netzwerk nun als ein logischer virtueller Router präsentiert.

Hierzu wird dem logischen Router eine virtuelle IP-Adresse und eine virtuelle MAC-Adresse zugeordnet. Einer der Router innerhalb der Gruppe wird als der virtuelle Master-Router definiert. Dieser bindet daraufhin die virtuelle MAC- und die virtuelle IP-Adresse an sein Netzwerkinterface und informiert die anderen Router der Gruppe, die als virtuelle Backup-Router agieren.

Fällt der Master-Router aus, werden die virtuelle IP-Adresse und die virtuelle MAC-Adresse innerhalb von (Milli)Sekunden auf einen der Backup-Router übertragen, der damit zum neuen Master-Router wird.[3] Sowohl die MAC- als auch die IP-Adresse werden transferiert, damit die betroffenen Hosts nicht ihren ARP-Cache aktualisieren müssen. Die Folgen des Ausfalls des ersten Routers auf der Route können somit reduziert werden. Dieses Redundanzprinzip wird Hot Standby genannt.
Jannik2018
Jannik2018 26.01.2024 um 16:22:12 Uhr
Goto Top
könnte ich das ganze auch auf dem red interface bauen sodass immer die 192.168.40.112 zwischen den beiden wechselt?
11078840001
11078840001 26.01.2024 aktualisiert um 16:27:52 Uhr
Goto Top
Zitat von @Jannik2018:

könnte ich das ganze auch auf dem red interface bauen sodass immer die 192.168.40.112 zwischen den beiden wechselt?

Klar. VRRP lässt sich für mehrere Interface-Gruppen konfigurieren
Jannik2018
Jannik2018 26.01.2024 aktualisiert um 16:39:47 Uhr
Goto Top
Zitat von @abamakabra:

Zitat von @Jannik2018:

könnte ich das ganze auch auf dem red interface bauen sodass immer die 192.168.40.112 zwischen den beiden wechselt?

Klar. VRRP lässt sich für mehrere Interface-Gruppen konfigurieren

Das scheint nicht ganz zu klappen er will nämlich die Virtual Ip auf Red nicht setzen.

ipfvrrp1
11078840001
11078840001 26.01.2024 aktualisiert um 16:41:56 Uhr
Goto Top
Tja da gehört natürlich mehr dazu ... Angefangen von Firewall Regeln für den VRRP Verkehr zur Abstimmung der beiden IPFires auf dem roten Interface etc.!!
Verstehe erst mal das VRRP Prinzip und die Kommunikation dahinter dann weißt du auch was an Konfiguration nötig ist. Einen Schritt nach dem anderen. Ich fliege ja auch nicht gleich einen Jumbo nach dem PPL.
Jannik2018
Jannik2018 26.01.2024 um 16:41:43 Uhr
Goto Top
Zitat von @abamakabra:

Tja da gehört natürlich mehr dazu ... Angefangen von Firewall Regeln für den VRRP Verkehr auf dem roten Interface etc.!!
Verstehe erst mal das VRRP Prinzip und die Kommunikation dahinter dann weißt du auch was an Konfiguration nötig ist. Einen Schritt nach dem anderen.

Firewallregel ist auch erstellt

fwvrrp1
11078840001
11078840001 26.01.2024 aktualisiert um 17:22:23 Uhr
Goto Top
Und du meinst jetzt ich soll mir deine Config aus den Fingern saugen? Freitagnachmittag vor Feierabend Glaskugel Raten ... 🙃
Meine Vermutung die VRID wurde nicht korrekt differenziert angepasst damit zwei Instanzen laufen, wobei wir mal wieder bei den Grundlagen wären, die ja offensichtlich fehlen, Trial&Error by it's best.
aqui
aqui 27.01.2024 um 17:08:58 Uhr
Goto Top
Verstehe erst mal das VRRP Prinzip
Guckst du auch hier:
https://de.wikipedia.org/wiki/Virtual_Router_Redundancy_Protocol
VRRP mit Mikrotik
Im Zweifel mit tcpdump mal checken ob die VRRP Frames beidseitig überhaupt ankommen.
colinardo
colinardo 28.01.2024 aktualisiert um 18:44:52 Uhr
Goto Top
Servus Jannik2018,
der Grund warum das bei der IPFire auf dem RED-Interface so nicht läuft ist das die IPFire dort per Default kein Multicast aktiviert hat..

/etc/init.d/networking/red.up/10-multicast
screenshot

Multicast auf dem red0 Interface manuell aktivieren kannst du für einen Test mittels folgenden Befehls
ifconfig red0 multicast

Du musst also in Keepalived statt einer Multicast-Konfiguration einen unicast peer hinterlegen oder das obige init Skript anpassen/auskommentieren damit Multicast auch auf dem red0 Interface nach einem Reboot aktiviert ist.

Beispiel für dein Szenario mit Multicast auf green0 und Unicast auf red0:

back-to-topIPFire-01


# VRRP Instance on LAN
vrrp_instance VI_LAN {
  state MASTER
  interface green0
  virtual_router_id 10
  priority 150
  advert_int 1
  authentication {
      auth_type AH
      auth_pass vrrp4lan
  }
  virtual_ipaddress {
      192.168.1.1/24 brd 192.168.1.255 dev green0
  }
}

# VRRP Instance on WAN
vrrp_instance VI_WAN {
  state MASTER
  interface red0
  unicast_peer {
     192.168.40.111
  }
  virtual_router_id 20
  priority 150
  advert_int 1
  authentication {
      auth_type AH
      auth_pass vrrp4wan
  }
  virtual_ipaddress {
      192.168.40.112/24 brd 192.168.40.255 dev red0
  }
}

back-to-topIPFire-02


# VRRP Instance on LAN
vrrp_instance VI_LAN {
  state BACKUP
  interface green0
  virtual_router_id 10
  priority 100
  advert_int 1
  authentication {
      auth_type AH
      auth_pass vrrp4lan
  }
  virtual_ipaddress {
      192.168.1.1/24 brd 192.168.1.255 dev green0
  }
}

# VRRP Instance on WAN
vrrp_instance VI_WAN {
  state BACKUP
  interface red0
  unicast_peer {
     192.168.40.110
  }
  virtual_router_id 20
  priority 100
  advert_int 1
  authentication {
      auth_type AH
      auth_pass vrrp4wan
  }
  virtual_ipaddress {
      192.168.40.112/24 brd 192.168.40.255 dev red0
  }
}

Firewall für das jeweilige Gegenüber auf dem red0 Interface nicht vergessen.

Grüße Uwe
Jannik2018
Jannik2018 30.01.2024 um 11:53:08 Uhr
Goto Top
vielen Dank für die wirklich gute Beschreibung face-smile

als Firewall Regel für das gegenüber so?


fwvrrp2
colinardo
colinardo 30.01.2024 aktualisiert um 12:02:20 Uhr
Goto Top
als Firewall Regel für das gegenüber so?
Ja. Die Quelladresse könntest du noch zusätzlich mit in die Regel rein nehmen.
Jannik2018
Jannik2018 30.01.2024 um 12:02:18 Uhr
Goto Top
komischerweise habe ich noch auf beiden IPFire die 192.168.40.112 auch nach einem Neustart
aqui
aqui 25.02.2024 um 13:05:53 Uhr
Goto Top
Jannik2018
Jannik2018 25.02.2024 aktualisiert um 15:34:18 Uhr
Goto Top
Das Problem ist leider noch nicht behoben, daher lasse ich das Thema noch offen