Problemas pfSense 2.1 - Gw Group Failover e IP Alias



  • Bom dia Pessoal,

    a) Neste final de semana fiz vários testes utilizando o novo recurso do pfSense 2.1, utilização do GW Group Failover na OpenVPN. Porém comigo não funcionou corretamente, tive que reiniciar o serviço para funcionar a VPN.

    Quando o link 1 fica disponível ele não volta sozinho, tenho que reiniciar o serviço openvpn para que o link 1 volte a ser o "primário.

    b) Na criação do GW Group Alias, tem uma nova opção de escolher qual IP Alias você poderá utilizar, mas a opção não lista os IPs Alias Criados no pfSense.

    Alguém já testou esses recursos?



  • @neo_X:

    Quando o link 1 fica disponível ele não volta sozinho, tenho que reiniciar o serviço openvpn para que o link 1 volte a ser o "primário.

    Este comportamento parece ser o esperado. uma vez que é melhor deixar a vpn funcionando do que ficar indo e voltando de um link para o outro.



  • @marcelloc:

    Este comportamento parece ser o esperado. uma vez que é melhor deixar a vpn funcionando do que ficar indo e voltando de um link para o outro.

    Não creio que seja esperado, se é um  failover, ele tem que voltar para o link principal, assim que o voltar.., já que o segundo link é usado como backup, até mesmo um loadbalance, é util essa opção, deixando a vpn mail livre.. por isso seria interessante este recurso..

    serviços como amazon tem loadbalance de vpn.



  • Olá Marcelo,

    Na realidade o GW Failover não funciona. Quando caiu o link principal, verifiquei que não tinha alterado para o link secundário com isso acabei alterando manualmente para o link secundário e quando o link principal ficou disponível, o GW Group Failover não retornou para o Link principal.

    Esta configuração está em 5 ambientes em produção e não funcionou, tive que alterar para o link secundário manualmente.


  • Administrator

    @neo_X:

    Olá Marcelo,

    Na realidade o GW Failover não funciona. Quando caiu o link principal, verifiquei que não tinha alterado para o link secundário com isso acabei alterando manualmente para o link secundário e quando o link principal ficou disponível, o GW Group Failover não retornou para o Link principal.

    Esta configuração está em 5 ambientes em produção e não funcionou, tive que alterar para o link secundário manualmente.

    Ele marcava o link primário como down? e mesmo assim não mudava as regras associadas para saírem pelo link secundário?



  • Renato,

    Para a navegação funciona corretamente. O que não funciona é o GW Group Failover para a OpenVPN.


  • Administrator

    @neo_X:

    Renato,

    Para a navegação funciona corretamente. O que não funciona é o GW Group Failover para a OpenVPN.

    Instala o pacote "System Patches", depois aplica o patch abaixo no seu sistema e testa pra ver se resolve.

    Para aplicar o patch:

    • System -> Patches
    • Adicione um novo item
    • Coloque a URL abaixo no item URL/Commit ID
        https://github.com/pfsense/pfsense/pull/813.patch
    • Path Strip Count => 1
    • Base Directory => /
    • Marque a opção "Ignore Whitespace"
    • Cliqe em Save
    • Na listagem, clique em Fetch e depois em Apply

    []s



  • Renato,

    Na versão 2.1, onde fica esse recurso. Procurei aqui e não achei.

    • System -> Patches

  • Administrator

    @neo_X:

    Renato,

    Na versão 2.1, onde fica esse recurso. Procurei aqui e não achei.

    • System -> Patches

    Eu tinha mencionado no outro post, "Instala o pacote "System Patches"". é um package,
    você deve ir em System -> Packages -> Available Packages e instalar.



  • Entendi Renato,

    Instalei o System Patches, e o patch instalarei a noite para não ter possíveis problemas.

    Hoje a noite post o resultado.



  • Bom dia Renato,

    Fiz o procedimento ontem a noite e agora estou monitorando o firewall para ver se funcionará.



  • Renato,

    Fiz os testes  e não funcionou com o patch. A vpn cai e permanece off. Aguardei uns 5 minutos com o link down.



  • Bom dia pessoal,

    Alguém testou o Failover na versão 2.1 ou vocês configuraram o OpenBGP?



  • IP ALIAS, a opção não fica disponível.




  • Alguém para me ajudar?

    ;D



  • Já tentou criar uma regra na aba floating usando o mesmo grupo de gateways?



  • Não tentei, só fiz o procedimento que o renato me passou, sobre aplicar a patch.

    Como funcionaria isso no floating?



  • @neo_X:

    Como funcionaria isso no floating?

    é uma regra como qualquer outra, só que aplicada na lo0 ou em várias interfaces.



  • Tenho um ambiente com failover incluindo o servico de openvpn e funciona da segunte maneira.
    Matriz com failover e o servico de  openvpn no openvpn.
    Duas filiais como cliente openvpn.
    Quando cai o link principal na matriz o secundario entra em ação com isso os clientes openvpn tenta conectar no primeiro remote e esta offline ele ira conectar no segundo link com o segundo remote da openvpn definido nas configuracoes dos 2 clientes.
    Quando o link principal retornana oponvpn das filias nao consegue reconectar no link principal pois a openvpn do cliente nao existe por padrao algo que cheque a conexao do link principal retorne ona matriz os clientes reconecta no principal.
    Entao a solucao e monitorar colocando o pfsense para enviar email informando quando tem queda de link.
    Para retornar o servico para o link principal vc deve dar um reconect nos clientes ou desativar o link secundario no servidor assim as conexoes dos clientes ira conectar no principal.



  • Sim Gilmar, como o remote nas filiais funciona perfeitamente. O problema está na queda dos links da filial. A função Gw Failover não funciona.

    Hoje testarei o OpenBPG. Se caso precisar da solução, te envio a configuração.



  • neo_X,

    Conseguiu implementar essa solucão com BGP ?



  • Olá ccesario,  estou finalizando o procedimento com o quagga OSPFd. A configuração está funcional. Quero configurar a 3° filial nesse esquema e aí fazer um tutorial bacana, pois eu não encontrei nada na internet.

    :)



  • Otimo!

    Realmente esta dificil encontrar material relacionado a esse tipo de implementação.

    Se puder compartilhar, agradecemos :)


Log in to reply