aktiven wireguard Tunnel zwischen HA master und backup umschalten
-
@micneu Die Gegenstele ist ein debian Server in unserem Verein. Da die Arbeit dort auf freiwilliger Basis stattfindet, ist da aus Zeitgründen nicht immer alles realisierbar, was technisch ginge.
-
@JeGr Danke für die Antwort, aber mach dir wegen meiner Frage keine Arbeit. Wenn der Tunnel läuft, läuft er, oder halt nicht. Das ist nur ein "nice to have" Feature, nichts wirklich Dringliches.
Ich hatte gehofft, irgendwer hätte das schonmal gemacht und könnte eine Antwort, ggf. in Form eines Scripts aus dem Ärmel schütteln. -
@viragomann Danke für deine Antwort, aber siehe meine Replies auf die anderen Antworten.
-
@nobanzai
Deine Argumentation verstehe ich nicht. Du möchtest eine VPN, wenn es leicht geht, möchtest nicht viel Zeit investieren, bist aber bereit dich mit Scripten rumzuschlagen, damit du Wireguard einsetzen kannst, eine VPN Lösung, die auf beiden Seiten erst mal installiert werden muss.Eine CA mit Server- und Client-Zertifikaten für OpenVPN sind in zwei Minuten erstellt und der Rest der OpenVPN-Konfiguration ist auch nicht aufwendiger als Wireguard, meiner Meinung sogar simpler.
-
@viragomann Auf meiner Seite inverstiere ich soviel Zeit wie ich Lust habe, aber ich kann die Techniker im Verein nicht auch dazu verpflichten. Daher kann ich an Scripten hier für die pfSensen basteln, bis ich es fertig habe oder die Lust verliere :)
-
@nobanzai
Verstehe. Ich war davon ausgegangen, dass du beide Seiten administrierst. -
Generell wäre es aber trotzdem erst einmal interessant, ob es überhaupt Scriptingmöglichkeiten gibt.
-
@nobanzai said in aktiven wireguard Tunnel zwischen HA master und backup umschalten:
Generell wäre es aber trotzdem erst einmal interessant, ob es überhaupt Scriptingmöglichkeiten gibt.
Skripten kannst du auf der Konsole wie du willst. Sinnvoll wäre es aber wenn du schon custom Skripte schreibst, die dann so einzubauen, dass sie auch ne Neuinstallation überleben o.ä.
Was man sich durchaus vorstellen könnte wäre ein kleines Skript was lediglich checkt, ob die aktuelle FW auf der es läuft der Master oder nicht ist und wenn ja, nichts tut, wenn nein auf dem Standby dann wireguard beendet. Dann würde es zumindest nur auf dem Master laufen. Krude, aber würde funktionieren.
Ich würde wie gesagt aber eher versuchen, das erstmal mit "Reject Floating Regeln" einzudämmen, wenn es unbedingt Wireguard sein muss. Wenn OVPN auch ginge, wäre das sofort meine Wahl. Ansonsten eben IPsec, auch das wäre einfacher, als sich im Cluster dann mit WGs Zicken herumzuschlagen :)
Wenns aber WG sein muss, erstmal mit Regeln versuchen auf die VIP zu beschränken, dann sollte das Problem mit dem Standby eh gelöst sein, da der dann nicht kommunizieren dürfte.
Cheers
-
@JeGr said in aktiven wireguard Tunnel zwischen HA master und backup umschalten:
Skripten kannst du auf der Konsole wie du willst. Sinnvoll wäre es aber wenn du schon custom Skripte schreibst, die dann so einzubauen, dass sie auch ne Neuinstallation überleben o.ä.
Ja, das wäre schon wünschenswert.
Und ja, klar, man kann scripten mit den üblichen System-/Shell-Mitteln. Die Frage bezog sich eher darauf, ob es da hilfreiche Tools oder Libraries speziell von/für pfSense gibt.Was man sich durchaus vorstellen könnte wäre ein kleines Skript was lediglich checkt, ob die aktuelle FW auf der es läuft der Master oder nicht ist und wenn ja, nichts tut, wenn nein auf dem Standby dann wireguard beendet. Dann würde es zumindest nur auf dem Master laufen. Krude, aber würde funktionieren.
Dazu müsste es ja aber wireguard auch wieder starten, wenn die Kiste zum Master wird.
Ich würde wie gesagt aber eher versuchen, das erstmal mit "Reject Floating Regeln" einzudämmen, wenn es unbedingt Wireguard sein muss. Wenn OVPN auch ginge, wäre das sofort meine Wahl. Ansonsten eben IPsec, auch das wäre einfacher, als sich im Cluster dann mit WGs Zicken herumzuschlagen :)
Wenns aber WG sein muss, erstmal mit Regeln versuchen auf die VIP zu beschränken, dann sollte das Problem mit dem Standby eh gelöst sein, da der dann nicht kommunizieren dürfte.
Wie beschränkt man das denn auf die VIP? Im Gegenstaz zu opnsense gibt es bei pfSense zumindest in den Einstellungen des Tunnels keine Möglichkeit, eine VIP anzugeben.
Cheers
Danke und ciao.
Michael. -
Sorry für lange Antwortzeit, stecke gerade in Vorbereitung zum nächsten pfSense Workshop.
@nobanzai said in aktiven wireguard Tunnel zwischen HA master und backup umschalten:
Und ja, klar, man kann scripten mit den üblichen System-/Shell-Mitteln. Die Frage bezog sich eher darauf, ob es da hilfreiche Tools oder Libraries speziell von/für pfSense gibt.
Filer und Shellcmd als Pakete um das Scripting in Filer zu packen und Shellcmd ggf. um es automatisch beim Start vor- oder nachgelagert zu starten. Das ist auch Update-safe weil es in der config.xml gespeichert wird. Ansonsten gibts da keine große Doku zu scripting, da sich Netgate da auf Plus und die API (vermutlich) konzentriert und da auch enorm viel Zeit reingesteckt hat. Skriptisch kann man die API bspw. durchaus für etliche Operationen verwenden.
@nobanzai said in aktiven wireguard Tunnel zwischen HA master und backup umschalten:
Dazu müsste es ja aber wireguard auch wieder starten, wenn die Kiste zum Master wird.
Korrekt. Wenn man es aber bspw. in den "afterfilterchanges" hook einbinden würde, wäre das IMHO eh gegeben, da der automatisch bei einem Failover getriggert wird soweit ich mich erinnere.
@nobanzai said in aktiven wireguard Tunnel zwischen HA master und backup umschalten:
Wie beschränkt man das denn auf die VIP? Im Gegenstaz zu opnsense gibt es bei pfSense zumindest in den Einstellungen des Tunnels keine Möglichkeit, eine VIP anzugeben.
Da gibts auch bei OPNsense keine Einstellung zu weil Wireguard selbst das nicht kann/macht. Darum hatte ich ja oben mehrfach geschrieben, beschränke es mit Firewallregeln auf die VIP. Also eingehend nur Traffic auf VIP:51820 erlauben und ausgehend auch nur von der VIP ausgehend genehmigen. Wenn eingehend nur VIP erlaubt ist, sollten die Pakete auf der richtigen Kiste landen. Beim ausgehenden Verkehr kommts dann drauf an, dass man verbietet, dass die eigene Interface IP was antworten darf. Das geht nur mit ner entsprechend angepassten Floating Regel mit "out" auf dem WAN.
Cheers :)
-
Danke für die Antwort. Aktuell komme ich zu nix, aber wenn wieder luft ist, werde ich mir das mal genauer anschauen mit den Filtern.
