OPNsense kann den Netzrand und die Segmentierung einer Unternehmensumgebung abbilden. Entscheidend sind passende Hardware, ein nachvollziehbares Regelwerk und ein Betriebskonzept. Zwei Firewalls allein ergeben noch keine durchgängig verfügbare Standortanbindung.
Verbindungen
Provider, Switches und Routing
Firewall
Regeln, VPNs und gegebenenfalls HA
Betrieb
Monitoring, Updates und Wiederherstellung
Verfügbarkeit vom Anschluss bis zur Anwendung betrachten
Ein HA-Paar kann den Ausfall einer Firewall auffangen. Gemeinsame Switches, Stromversorgung oder ein einzelner Internetanschluss bleiben mögliche Ausfallpunkte. Auch die Netzumgebung muss das Failover unterstützen. Bei virtuellen Firewalls gehören Hypervisor, virtuelle Switches und deren Einstellungen in die Betrachtung.
Synchronisation und Umschaltung getrennt testen
Eine übernommene virtuelle IP beweist noch nicht, dass laufende Verbindungen erhalten bleiben. Prüfen Sie die drei Mechanismen getrennt, zunächst in einer Testumgebung.
Drei Prüfungen für ein OPNsense-Paar
- CARP: Wer hält die virtuelle IP?
MASTER-/BACKUP-Rollen auf beiden Knoten kontrollieren. Nach dem freigegebenen Wechsel den Zugriff über die virtuelle IP erneut testen.
- pfsync: Ist der Verbindungszustand vorhanden?
Eine definierte Testverbindung in Firewall → Diagnostics → States Dump auf beiden Knoten suchen. Beim Wechsel bestehende Sitzung und neue Verbindung getrennt beobachten.
- Konfiguration: Was wird übertragen?
Synchronisationsumfang prüfen und eine ungefährliche Teständerung auf dem vorgesehenen Primärknoten abgleichen. Nicht aus synchronisierten States auf identische Regeln schließen.
ENTSCHEIDENDVPNs, Routing und Rückkehr zum Normalbetrieb separat testen. Vor produktiven Ausfalltests Managementzugang, Abbruch und Rückweg sichern. Bestehende Sitzungen bleiben nicht bei jedem Fehlerbild erhalten.
Updates und Support vorab regeln
Legen Sie fest, wer neue Versionen bewertet, Tests durchführt und die Aktualisierung freigibt. Sichern Sie Konfigurationen und prüfen Sie die Wiederherstellung. Edition, Erweiterungen und externe Supportvereinbarungen sollten zu den Reaktionszeiten passen, die Ihr Betrieb benötigt.
Diese Fragen sollten geklärt sein
- Welche Fehler muss die Architektur auffangen?
- Sind Failover und Wiederherstellung praktisch getestet?
- Wer übernimmt Updates und Störungen außerhalb des Tagesgeschäfts?
MTS Maschinenbau
Bei MTS Maschinenbau gehört ein OPNsense-HA-Cluster zur neu geordneten Infrastruktur. Der Projektbericht zeigt den Zusammenhang mit Netzwerksegmentierung, Plattform und Backup.
Projekt ansehen