HA Routers met vast IP

[daemon]

Hey allemaal,

Ik zou graag een dubbele firewall opstelling opzetten hier. Ik heb een vast IP bij Telenet en dat werkt met mijn ene router prima. Nu zou ik graag de router vervangen door twee OPNsense routers en het vast IP adres instellen als “VIP” (floating IP tussen de twee routers). 

In de huidige setup stel ik dus via Mijn Telenet het MAC adres van mijn router’s WAN nic in en krijgt de router het fixed IP via DHCP binnen. 

Via die OPNsense met een VIP lijkt me dat wat gecompliceerder, gezien de IP’s die aan de individuele WAN nics zouden worden uitgedeeld in een compleet andere range liggen. Heeft iemand daar ervaring mee? Als ik nu bvb die WAN nics adressen 192.168.200.1 en 192.168.200.2 en dan het gegenereerde MAC adres van het VIP instel in mijn Telenet, zou dat dan ook werken? Ik zou in ieder geval moeten in staat zijn om het VIP (mijn vast IP dus) statisch in te stellen ipv het binnen te krijgen via DHCP. Kan ik gewoon alle instellingen overnemen die ik binnenkrijg en statisch instellen?

Thanks alvast voor jullie ideeën!

Grts, 

K.

[igvfer]

@daemon  Ik vrees dat je al tegen het feit oploopt dat je maar 1 vast IP krijgt van Telenet en de rest die je krijgt is variabel. Tenzij je mits bijbetaling er kunt bijkrijgen.

Vervolgens is dat waarschijnlijk altijd via DHCP bij Telenet. Want je moet, of het is veranderd, het mac adres ingeven van de router die je gebruikt, in "Mijn Telenet".

Je hebt een business abonnement dus zouden ze je daar uitsluitsel moet kunnen op geven.

[daemon]

Goeie morgen @igvfer.

Dat was inderdaad mijn vraag. Ik vraag me dus eigenlijk af of ik het fixed IP van Telenet ook gewoon fixed kan worden ingegeven. Ik heb geen (werkende) extra IP's nodig. Ik zal het gewoon moeten testen vrees ik, en dus tijdelijk het netwerk plat leggen, wat ik hoopte te vermijden:

• Ik krijg een fixed IP binnen het 81.83.0.0/19 netwerk met als gateway 81.83.0.1 
• Ik zou kunnen proberen twee random IP's uit dat subnet toe te kennen aan de WAN nics
• CARP (V)IP instellen op mijn fixed IP
• Het door OPNsense gegenereerde CARP MAC adres in Mijn Telenet te zetten (gezien ze hier waarschijnlijk op filteren)
• Zorgen dat uitgaande traffic via NAT het CARP IP gebruikt ipv de "fake" random IP's die ik eerder instelde.

Geen idee of ik daarmee enige Telenet regels overtreedt. Ik veronderstel dat ze langs hun kant wel zorgen dat effectief alleen mijn IP adres wordt geaccepteerd en dat ik dus geen duplicate IP issues kan veroorzaken.

Mocht het niet lukken, contacteer ik Telenet. Ik vermoed dat ik niet de enige zal zijn die een redundante router/firewall opstelling wil.

Grts,
K

[igvfer]

---

@daemon  schreef:

Hey allemaal,

Via die OPNsense met een VIP lijkt me dat wat gecompliceerder, gezien de IP’s die aan de individuele WAN nics zouden worden uitgedeeld in een compleet andere range liggen. Heeft iemand daar ervaring mee? Als ik nu bvb die WAN nics adressen 192.168.200.1 en 192.168.200.2 en dan het gegenereerde MAC adres van het VIP instel in mijn Telenet, zou dat dan ook werken? Ik zou in ieder geval moeten in staat zijn om het VIP (mijn vast IP dus) statisch in te stellen ipv het binnen te krijgen via DHCP. Kan ik gewoon alle instellingen overnemen die ik binnenkrijg en statisch instellen?

Thanks alvast voor jullie ideeën!

Grts, 

K.

---

Hier ben ik niet mee. Aan de WAN zijde van beide routers krijg je toch een publiek IP adres? Dat 192.168.200.0 netwerk is toch aan de LAN zijde waarbij je dan inderdaad 192.168.200.1 voor de ene gateway kunt instellen en voor de andere 192.168.200.2.

[igvfer]

---

@daemon  schreef:

Goeie morgen @igvfer.

Dat was inderdaad mijn vraag. Ik vraag me dus eigenlijk af of ik het fixed IP van Telenet ook gewoon fixed kan worden ingegeven. Ik heb geen (werkende) extra IP's nodig. Ik zal het gewoon moeten testen vrees ik, en dus tijdelijk het netwerk plat leggen, wat ik hoopte te vermijden:

• Ik krijg een fixed IP binnen het 81.83.0.0/19 netwerk met als gateway 81.83.0.1 
• Ik zou kunnen proberen twee random IP's uit dat subnet toe te kennen aan de WAN nics
• CARP (V)IP instellen op mijn fixed IP
• Het door OPNsense gegenereerde CARP MAC adres in Mijn Telenet te zetten (gezien ze hier waarschijnlijk op filteren)
• Zorgen dat uitgaande traffic via NAT het CARP IP gebruikt ipv de "fake" random IP's die ik eerder instelde.

Geen idee of ik daarmee enige Telenet regels overtreedt. Ik veronderstel dat ze langs hun kant wel zorgen dat effectief alleen mijn IP adres wordt geaccepteerd en dat ik dus geen duplicate IP issues kan veroorzaken.

Mocht het niet lukken, contacteer ik Telenet. Ik vermoed dat ik niet de enige zal zijn die een redundante router/firewall opstelling wil.

Grts,
K

---

Via IPv6 zou je kunnen subnetten omdat je daar een /56 prefix krijgt en je kunt subnetten van 00 tot ff. Maar bij IPv4 krijg je wel een /19 maar daar zal jij niet zelf de rest van het adres kunnen kiezen. Eigenlijk krijg jij een /32 als onderdeel van een /19 netwerk.

In je private netwerk 192.168.0.0 zal je kunnen spelen met het subnet maar in de publiek IPv4 niet.

[daemon]

Het ging hier in feite gewoon om te illustreren dat de IP adressen die rechtstreeks aan de WAN nics er in feite niet toe doen. Veel zal afhangen of het CARP VIP op de routers in dezelfde range van de WAN nics moet liggen. Als dat zo is, zal ik moeten 2 random IP's kiezen uit die /19.

[Arnie]

Misschien basic vraag, maar welk doel heb je eigenlijk voor ogen? Waarom zou je 2 firewalls willen gebruiken, als ze daarna toch via hetzelfde WAN aan het internet gekoppeld zijn? Voor redundantie heeft dat dan weinig zin. Je hebt dan wel firewall redudantie, maar je single-point of failure blijft je Telenet internet connectie.

Ik vrees dat het niet zal lukken het enige publieke adres wat je van Telenet ontvangt over twee devices te delen. De CV8560E ondersteunt enkel maar IP passthrough voor 1 IP adres / MAC adres. Bij floating IP of VIP deel je het IP adress tussen de twee devices (firewalls in dit geval), maar hebben beide wel hun eigen, unieke MAC adres.

Floating IP heeft meer zin op de LAN zijde van je firewalls, zodat je interne apparaten maar één default gateway hoeven te kennen. Mocht deze dan wegvallen, kan de backup gelijk inspringen met hetzelde IP adres. Idealiter heeft die dan een andere connectie naar het internet.

[Faa]

Als het bedoeld is voor redundantie, ben je veel beter af met active/passive HA. Active/active HA configuraties vereisen virtual IP's zoals CARP/floating IP's. 
VIP/CARP adressen heb je niet nodig voor een active/passive HA setup, dus je werkt alleen maar met fysieke adressen. Wanneer de primary firewall het begeeft, de fysieke adressen vloeien gewoon over naar de 2de firewall - dus je laat de WAN interface gewoon op DHCP staan.

Verder wil ik wel toevoegen dat floating adressen niet hetzelfde zijn als CARP adressen. Floating's zijn alleen maar actief op 1 firewall. CARP's load-balanced tussen twee firewalls. De voorkeur gaat eerder uit naar een floating adres op de externe kant. Intern zijn CARP adressen geweldig. 

Ik weet niet of OPNsense vereist dat je fysieke adressen moet hebben op de WAN interface. Als het zo zou zijn, heb je in totaal 4 publieke adressen nodig als je met floating adressen werkt. Dus 2 fysieke en 2 floating IP's. Als OPNsense geen fysieke adressen vereist, heb je alleen maar 1 publieke adres nodig en die gebruik je als CARP.

[igvfer]

@daemonIk heb een beetje zitten zoeken omdat het mij wel interesseert en ik denk dat je eigenlijk met 3 routers moet werken.  1 Router om op het internet te geraken en daarachter je 2 firewalls/routers. Uw firewalls rechtstreeks op het internet kan niet lukken omdat je niet kan kiezen om met je publieke IPadressen in hetzelfde subnet te zitten. Dat is de keuken van Telenet.

Heb je dit al gezien: https://wiki.opnsense.org/manual/how-tos/carp.html 

Het netwerk 172.18.0.0 waar hier sprake van is, is een private network achter een DSL of kabel router.