FritzBox Exposed Host und CARP-IP bei Pfsense – Konfigurationsproblem

sub2010

Betreff: Problem mit Portfreigaben und CARP bei Pfsense – Hilfe benötigt!

Hallo zusammen,

ich hoffe, jemand von euch kann mir weiterhelfen, denn ich habe ein ziemlich kniffliges Problem mit meinen Portfreigaben in Kombination mit Pfsense und CARP-Adressen.

Problem:
Der Exposed Host in meiner FritzBox wird nicht auf die CARP-Adresse (192.168.2.254) weitergeleitet. Alle bisherigen Anpassungen und Resets haben nichts gebracht, und das System lief vorher ohne Probleme.

Systemdetails:

FritzBox Version: 8.0
Pfsense Version: 24.11
Konfiguration: Dual-WAN mit High-Availability (HA)
Netzwerkübersicht:
- Pfsense 1:
  - WAN IP: 192.168.2.251/28
  - CARP IP: 192.168.2.254/28
- Pfsense 2:
  - WAN IP: 192.168.2.252/28

Ich habe die WAN-IP der ersten Pfsense als Exposed Host in der FritzBox konfiguriert, da diese die CARP-IP (192.168.2.254) nicht korrekt zuordnet.

Fragen:

Hat jemand eine Idee, wie ich der FritzBox beibringen kann, immer die CARP-IP als Exposed Host zu nutzen?
Könnte es an der aktuellen FritzBox-Firmware liegen?
Gibt es vielleicht spezielle Konfigurationsschritte in der Pfsense, die ich übersehen habe?

Hier ist noch ein Ausschnitt aus der Pfsense-Konfiguration:

re0: flags=1008943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST,LOWER_UP> metric 0 mtu 1500
    description: WAN1DSL2
    options=82098<VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,WOL_MAGIC,LINKSTATE>
    ether XX:XX:XX:XX:XX:28
    inet 192.168.2.251 netmask 0xfffffff0 broadcast 192.168.2.255
    inet 192.168.2.254 netmask 0xfffffff0 broadcast 192.168.2.255 vhid 2
    carp: MASTER vhid 2 advbase 1 advskew 0
          peer 224.0.0.18 peer6 ff02::12
    status: active

Für weitere Infos stehe ich gerne bereit. Danke schon mal für eure Unterstützung!

Viele Grüße
sub

micneu

@sub2010 entweder habe ich ein Verständnis Problem, wir machen bei uns im RZ ein HA-Cluster von 2 Sensen. Was ich nicht verstehe, warum willst du eine Fritz box benutzen. Wir haben von Unserem Provider ein 29er Netz und dort haben wir jeweils eine 1 IP für WAN (VirtualIP CARP) die auf beiden Sense Konfiguriert ist. Was genau willst du mit der Fritz box machen?
Nach meinem Verständnis ist es ja so, ist deine Fritzbox Down hast du kein Internet mehr und dann bringt dir dein Sense Cluster nichts mehr?
Bitte mal einen Grafischen Netzerkplan, damit wir mal genau den Aufbau von deinem Netzwerk verstehen

sub2010

@micneu
Vielen Dank für deine Antwort.
Ich habe nicht die Möglichkeit von einer statischen IP Adresse.

Hier eine Übersicht vom Netzwerk.

viragomann

@sub2010
Ist die Frtitzbox überhaupt gewillt, mit der CARP VIP zu kommunizieren? Geht ein Ping auf diese?

Eventuell musst du auf der Frtitzbox so etwas wie "MAC Spoofing" aktivieren. Denn pfSense schickt alle Pakete von der Hardware-MAC, die zur Interface-IP gehört, während die FB die weitergeleiteten Pakete aber an die CARP-VIP und damit an die CARP-MAC richtet. Also die Antwort kommt von einer anderen MAC als die Anfrage geschickt wurde. Das ist MAC Spoofing. Wenn das unterbunden wird, kommuniziert das Gerät mit der CARP VIP nicht.

AVM hat aber dafür möglicherweise ein anderes Kunstwort erschaffen, wie so oft.

sub2010

@viragomann said in FritzBox Exposed Host und CARP-IP bei Pfsense – Konfigurationsproblem:

@sub2010
Ist die Frtitzbox überhaupt gewillt, mit der CARP VIP zu kommunizieren? Geht ein Ping auf diese?

Eventuell musst du auf der Frtitzbox so etwas wie "MAC Spoofing" aktivieren. Denn pfSense schickt alle Pakete von der Hardware-MAC, die zur Interface-IP gehört, während die FB die weitergeleiteten Pakete aber an die CARP-VIP und damit an die CARP-MAC richtet. Also die Antwort kommt von einer anderen MAC als die Anfrage geschickt wurde. Das ist MAC Spoofing. Wenn das unterbunden wird, kommuniziert das Gerät mit der CARP VIP nicht.

AVM hat aber dafür möglicherweise ein anderes Kunstwort erschaffen, wie so oft.

Das gilt bei der FritzBox meiner Meinung nach nur für das WLAN. Zumal es mehrere Jahre Problemlos lief. In den Release Note konnte ich nichts finden, was zu dem Fehler führen könnte.

eagle61

@sub2010

Hier wurde schon mal so ein problem gelöst.
Vielleicht hlft es dir weiter:
https://forum.netgate.com/topic/123970/solved-zwei-fritzboxen-zwei-pfsense-multiwan-und-carp/9

sub2010

@eagle61 said in FritzBox Exposed Host und CARP-IP bei Pfsense – Konfigurationsproblem:

https://forum.netgate.com/topic/123970/solved-zwei-fritzboxen-zwei-pfsense-multiwan-und-carp/9

Hi,

vielen Dank für den Hinweis. Genau das hier beschriebene, habe ich bereits mehrmals ausprobiert. Das hat auch bis vor ein paar Wochen sehr gut funktioniert.
Ich bin allerdings ratlos warum nach einem Reconnect der Fritzbox die Exposed Host nicht mehr funktioniert.

eagle61

@sub2010 said in FritzBox Exposed Host und CARP-IP bei Pfsense – Konfigurationsproblem:

Das hat auch bis vor ein paar Wochen sehr gut funktioniert.
Ich bin allerdings ratlos warum nach einem Reconnect der Fritzbox die Exposed Host nicht mehr funktioniert

Funktioniert es tatsächlich seit einem Reconnect der Fritzbox nicht mehr oder nicht doch seit deren Update auf OS8?

sub2010

@eagle61
Ich habe das Update der FritzBox und der Pfsense dicht hintereinander gemacht, sodass ich das eine oder andere nicht ausschließen kann.
Ich kann nur dazu sagen, dass der Workaround über das manuellen Festlegen vom Exposed Host über die Carp IP Adresse nicht mehr funktioniert.

eagle61

@sub2010

Der Hintergrund meiner Frage hat sich eh erledigt. In 2022 war es noch möglich FritzBoxen Downzugraden, also eine ältere Firmware einzuspielen. Es gibt sogar noch einen aktuell auffindbaren Artikel aus 2022 in der ComputerBlöd dazu. Aber leider scheint das nicht mehr möglich zu sein. Der Ordner mit den älteren Versionen der Firmware ist vom AVM-Download-Server verschwunden.

sub2010

Hallo Zusammen,

heute nach dem externen IP Adresswechsel, hatte ich wieder das Problem, dass die Exposed Host Freigabe nicht funktioniert hat. Es führt nicht bei jedem IP Adresswechsel zum Fehler, eher jeder zweite.

Ich hatte ihn auf die erste Firewall konfiguriert, sodass ich auf den HA Modus verzichte. Aber auch das führte nicht zum Erfolg. Es tritt definitiv nach dem IP Wechsel der FritzBox auf.
Sogar das Fixing stellt sich als schwierig raus. Weder Neustarts der Firewall noch des Routers helfen. Die Netzwerkübersicht führt nicht mal die richtige Carp Adresse mit der Endung .254 auf.

Ich habe nun auch alle Filter regeln deaktiviert, in der Hoffnung das dies dmait zu tun hat

micneu

@sub2010 Was mich an deiner Grafik irritiert

BalckMesa-1 & BlackMesa-CARP haben die gleiche IP

Bei uns in der Firma haben wir es so

pfsense1 WAN = xx.xx.xx.85/29
pfsense2 WAN = xx.xx.xx.86/29
    CARP WAN = xx.xx.xx.82/29

ich habe gerade in der Offiziellen Dokumentation geschaut, da ist alles beschrieben, hast du die Anleitung gelesen?