@JeGr:

Hi,

mehrere gleiche Tiers sollten den Effekt haben, dass Verbindungen über die Gateways des Tiers entsprechend round robin rausgehen und damit beide Leitungen nutzen. Das ist zumindest auch das Bild, was wir hier in verschiedenen Setups sehen. Beispiel 4 verschiedene GWs an 4 Leitungen -> die Clients dahinter teilen sich die Bandbreite der 4 Gateways. Fällt eines aus, steht eben insg. nur noch die Bandbreite von 3 zur Verfügung. Natürlich ist das kein "schön gewichtetes" loadbalancing und kein additives Setup (3x50 MBit/s != 150MBit/s) aber in den Setups wo es genutzt wird, sind die Clients deutlich zufriedener (gerade wenn man jetzt häufiger mal Linespeed hat ;)).

Ja, das mit den gleichen Tiers habe ich verstanden, dass es wohl ein "einfaches" Failover ist. Aber wie gesagt, mich interessiert es, wie es aussieht, wenn in jedem Tier mehr als 1 Gateway definiert ist? Wird es dann genau so gehandhabt, als wäre nur 1 GW pro Tier eingerichtet (dass das Tier erst dann gewechselt wird, sobald alle enthaltenen GW's down sind) oder gibt es eine gewisse Ausnahmeregelung (Umschwung auf ein anderes Tier bereits beim Ausfall eines GW's)?

@JeGr:

State Killing tut genau das, macht aber IMHO eher bei so etwas wie VPN Verbindungen Sinn, wo natürlich die Verbindung gekillt werden soll, wenn das VPN down ist, damit kein Traffic unverschlüsselt über die Leitung tröpfelt. Für ein LoadBalancing Setup ist das eher unpraktisch, wenn dann eher bei einem Failover Setup, bei dem die 2. Leitung kleiner ist als die primäre und man erzwingen will, dass die Verbindungen wieder über die primäre Leitung aufgebaut werden (und nicht erst wenn der State mal einen Timeout bekommt).

Gruß

Also, wenn man das automatische Wechseln der Gateways per Rules unterbunden hat, dann gibt es keine Vorteile beim State Kill, richtig?

Jetzt habe ich aber 2 Netzwerkkarten

Mit gleicher IP bzw. IP Subnetz? Oder was möchtest du jetzt genau sehen? Und wo hast du 2 Netzwerkkarten? Das klingt alles ein wenig wirr.

Gruß

Danke für die Antworten

"Block private networks and loopback addresses" Häkchen ist an der WAN ist aus.

Also ich habe mittlerweile alles Probiert,
das mit der Statischen IP funktioniert einfach nicht, ich weis nicht mehr weiter.

Das einzige ist wirklich eine Private DHCP Adresse per Kabelrouter zu erhalten und dann mittels dhclient.

Werde erstmal mit dem Workaround leben.

Vielen Dank erstmal für eure Zeit und ideen

Kurz mal der Stand der Dinge:

Die Zugabe von

link-mtu 1400

in die Client-Konfig hat das Problem scheinbar behoben.
RDP funktioniert und die Datenübertragung beim Kopieren von Files startet jetzt. Der Durchsatz scheint sich im normalen Bereich zu bewegen.

Wir testen mal noch die Testinstanz mit fragment/mssfix, so wie der alte VPN-Server von der alten ipfire konfiguriert war.

Danke erstmal für die Antworten. Wenn ich neue Erkenntnisse habe, werde ich diese hier posten.

Ja mit 2.4 läuft das erst wieder brauchbar. Die Verbindung bricht nicht weg, aber der DSN startet neu und kann in dieser Zeit keine Antworten geben.

Gruß
pfadmin

Hallo,

@alex.f:

        Internet             :       .-----+-----.       |  pfSense  |------- DMZ (192.128.2.0/28)       |  OVPN S  |       '-----+-----'             | 172.16.2.1             |             |        Tunnel Net: 172.16.0.0/30             |             | 172.16.2.5       .-----+-----.       |  pfSense  |       |  OVPN C  |       '-----+-----'             | 10.0.2.4             |           LAN

eine VPN ist eigentlich dafür gedacht, über ein unsicheres, also meist öffentliches, Netz zu verlaufen. Auf ein /30er Netz trifft das wohl nicht zu.
Ein Testaufbau?
Wie auch immer, die VPN sollte auch hier funktionieren, wenn auch sinnfrei.

@alex.f:

Serverseite IPv4 Remote network(s): 10.0.0.0/8

:o Ist diese Netzbreite tatsächlich erforderlich?
Besser ist es, diese so schmal als möglich zu wählen.
Wenn alle Angaben stimmen, sollte aber auch das kein Problem darstellen.

Wie sieht deine Client VPN Konfiguration aus?

Laufen am Client noch andere OpenVPN Instanzen?

Wie sieht die Routing-Tabelle am Client aus?

Hallo -flo-,

ich werd es mal überprüfen, wenn der Fehler wieder auftritt. Ich gebe dann mal Rückmeldung  :)

Viele Grüße
Grisu

So genau kann man das gar nicht sagen. Auch ich stellte mir diese Woche schon oft die Frage. Obwohl ich Business Kunde bei Unity Media in BW bin und 5 feste IP Adressen habe, hab ich bestimmt mind. 5 mal angerufen und nach meinen IP Adressdaten, wie eben dieser Gateway gefragt. Also entweder sie haben garkeine Ahnung und oder lassen sich nicht gerne in die Karten schauen. Hab mich gestern mit einem Techniker unterhalten, der meinte, dass es dahinter erst mal 2 Gateways aus Redundanz Gründen gibt, sollte einmal eins ausfallen. Wollte dem WAN Port auch ein statische IP zuweisen und das Gateway eintragen. Egal ob statisch oder dynamisch, das Gateway war bei mir dann die .1 des Netzwerks XXX.X.XX.1 Habs dann auch so auf dynamisch gelassen. Denke, damit machst nix falsch.

@JeGr:

Private Netze, nicht Bogons. Bogons sind nur Netze, die momentan nicht vergeben sind. Und auf LANs sollte man kein RFC1918 Haken setzen, das könnte ins Auge gehen. Dann lieber selbst ein eigenes Alias definieren und eine Regel damit machen, das erspart Ärger da man die Reihenfolge selbst festlegen kann.

Manuell ist natürlich immer besser und übersichtlicher… War auch nur ne spontane Idee.

Diesen Thread meine ich

https://forum.pfsense.org/index.php?topic=126545.0

Bitte aber nicht einfach den Thread kapern und dann in andere Richtung schieben, da es bei @Docslyper auch nicht um 2 Funk Szenarien geht, gestaltet sich das schon anders als im Fall des OP. Also bitte hier die Antwortenden nicht durcheinander bringen mit anderen Fakten und lieber einen eigenen Thread aufmachen oder darin bleiben. Danke!

Zum Thema:

Zwischen "Heimnetz" und Internet-Zugänge soll eine pfSense-Lösung. Diese stellt beide Internet-Verbindungen zur Verfügung (LTE-Router per LAN verbunden, HotSpot vom Handy per WLAN-Karte oder LAN-Anschluss und WLAN-Bridge verbunden). Diese Verbindungen sollen vom Client aus (bevorzugt natürlich durch nur einen Doppelklick, also gerne HTTP-Request oder ähnliches) gewechselt werden können.

Das wird etwas schwieriger werden, denn einfach leicht umschalten lässt sich das Szenario leider nicht. Was man machen könnte:

Gateways erstellen für Funk1 und Funk2 Router Default GW ist der Funkrouter mit Flatrate Alias erstellen für die Clients im LAN, die umgeschaltet werden sollen Regel erstellen mit selbigem Alias als Source (auf dem LAN IF) und Ziel gewünschte URLs/Dienste/alles? unter advanced settings das andere Funk Gateway auswählen Regel aktivieren/speichern

Dann prüfen, ob es über die schnelle Verbindung läuft und wenn alles klappt, kann man per enable/disable der Regel einfach gezielt Traffic auf das andere Funkinterface umschalten. Man muss sich allerdings eben einloggen und die Regel aktivieren und wieder abschalten.

Um als Ziel bspw. bestimmte Dienste nutzen zu können, kann man bspw. entsprechende Listen im Netz suchen und diese mittels pfBlockerNG im System einbauen und als Aliase/Tabellen nutzbar machen.

Gruß

@JeGr:

Wo wird mir denn angezeigt, wann auf einem Interface etwas down war?

Ich habe immer eine Verbindung (RDP) zum anderen Netz offen. Aber morgens ist diese Verbindung gekappt.

Und wer sagt dir an der Stelle, DASS es tatsächlich ein Interface-down war und nicht schlicht und einfach ein Timeout vom RDP Client/Server? :o

Ich habe das daraus geschlossen, das ich noch eine RDP Verbindung hier im LAN laufen habe bei der nichts passiert.
Evtl ist es ein Timeout. Da muss ich mal schauen, welche Möglichkeiten man da hat.

Und die übrige IP für den ganzen ausgehenden Clienttraffic.

Da könntet ihr übrigens mogeln, wenn ihr das Subnetz geroutet bekommt :D

Moin,

das schöne an dem angepeiltem AP ist der OpenWRT Support  ;) damit ist das gute Stück selber VLan und MultiSSID fähig zu machen wenn es denn mal erforderlich sein sollte.
Was Du noch checken solltest: Wie voll ist das 2,4 Ghz Band macht es Sinn auch 5 Ghz anzubieten? Klar ist "nur" ein Gastnetz …

-teddy

Lösung:

https://forum.pfsense.org/index.php?topic=135351.0

Danke. Ich habe noch etwas nachgetragen falls andere mal den Beitrag lesen - nicht dass die meine vmtl. vorhandenen Fehler und fehlerhaften Erklärungen für bare wahre Münze nehmen :D Mein Level der Erkenntnis ist nur ein klein wenig höher wie deines und noch unter Normfüllstand des Glases denke ich. Ich hoffe noch auf Verbesserungen und Korrrekturen meiner Erklärung, die wird es sicher geben.