https://techcorner.max-it.de/index.php?action=history&feed=atom&title=OPNsense_-_BFD_mit_FRROPNsense - BFD mit FRR - Versionsgeschichte2026-10-09T00:57:05ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=OPNsense_-_BFD_mit_FRR&diff=3889&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: BFD mit os-frr (BGP, OSPF, STATIC, Timer), Stand os-frr 1.552026-10-08T00:00:00Z<p>Neuer Artikel: BFD mit os-frr (BGP, OSPF, STATIC, Timer), Stand os-frr 1.55</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = OPNsense 26.1 und 26.7 mit Plugin os-frr 1.55 (FRR 10), BFD für BGP, OSPF/OSPFv3 und STATIC<br />
| bereich = IT-Security<br />
| dauer = ca. 15 Minuten (zusätzlich zu einer bestehenden BGP- oder OSPF-Konfiguration)<br />
| rechte = Administrator (OPNsense-WebUI)<br />
| stand = Oktober 2026 (OPNsense 26.7.5, os-frr 1.55)<br />
}}<br />
'''BFD auf OPNsense''' (Bidirectional Forwarding Detection, Plugin ''os-frr'') erkennt Leitungs- und Nachbarausfälle in Sekundenbruchteilen und meldet sie an [[OPNsense - BGP mit FRR|BGP]], [[OPNsense - OSPF und OSPFv3 mit FRR|OSPF]] und statische Routen. Ohne BFD bemerkt BGP einen stillen Ausfall erst nach dem Hold-Timer (Standard 180 Sekunden), OSPF nach dem Dead-Intervall – laut OPNsense-Dokumentation bringt BFD die Konvergenzzeit auf rund eine Sekunde.<br />
<br />
Dieser Artikel gehört zur Serie [[OPNsense - FRR Dynamisches Routing]] und zeigt die Einrichtung mit os-frr 1.55 (Stand Oktober 2026): Funktionsweise, BFD-Nachbarn, Kopplung an BGP, OSPF und STATIC, Timer, Multihop und Fehlersuche.<br />
<br />
== So funktioniert BFD ==<br />
* Zwei Router tauschen in kurzen Abständen kleine '''UDP-Kontrollpakete''' aus – Single-Hop auf '''Port 3784''', Multihop auf '''Port 4784'''.<br />
* Bleiben '''Detect multiplier''' × Intervall lang Pakete aus, gilt die Sitzung als ''down''. Mit den Standardwerten des Plugins (Multiplier 3, Intervalle je 300 ms) ist das nach etwa '''0,9 Sekunden''' der Fall.<br />
* BFD ist selbst kein Routingprotokoll: Es meldet den Ausfall an die angemeldeten Protokolle, die daraufhin sofort ihre Routen zurückziehen und auf einen anderen Weg umschalten.<br />
* Typische Einsatzfälle: zwei Provider- oder VPN-Leitungen mit BGP, OSPF über Switches (bei denen der Link physisch „up“ bleibt, obwohl der Nachbar nicht mehr erreichbar ist), statische Routen zu einem Next-Hop hinter einem Layer-2-Netz.<br />
<br />
[[Datei:OPNsense-BFD-FRR.png|thumb|center|750px|BFD auf der OPNsense: Kontrollpakete alle 300 ms; fällt der Nachbar aus, meldet BFD nach etwa 0,9 Sekunden „down“, und BGP, OSPF oder STATIC ziehen die betroffenen Routen sofort zurück – statt nach 40 bis 180 Sekunden.]]<br />
<br />
== Schritt 1: Firewall-Regel ==<br />
BFD wird von den automatischen Regeln des Plugins nicht erfasst. Auf der Schnittstelle zum Nachbarn (''Firewall → Rules'') auf '''beiden''' Seiten eine Regel anlegen:<br />
{| class="wikitable"<br />
! Feld !! Wert<br />
|-<br />
| Action / Direction || Pass / In<br />
|-<br />
| Protocol || UDP<br />
|-<br />
| Source || Adresse bzw. Netz des Nachbarn<br />
|-<br />
| Destination || eigene Adresse auf dieser Schnittstelle<br />
|-<br />
| Destination Port || <code>3784</code> (Single-Hop) – bei Multihop zusätzlich <code>4784</code><br />
|}<br />
<br />
== Schritt 2: BFD aktivieren und Nachbarn anlegen ==<br />
'''Routing → BFD''': '''Enable''' setzen. Unter '''Neighbors''' → '''+''':<br />
{| class="wikitable"<br />
! Feld !! Empfehlung<br />
|-<br />
| Description || z. B. ''Router B''<br />
|-<br />
| '''Peer-IP''' || Adresse des Nachbarn, z. B. <code>10.1.1.2</code><br />
|-<br />
| Multihop || nur für Nachbarn, die nicht direkt verbunden sind (z. B. eBGP über Loopback)<br />
|-<br />
| Local Address || eigene Quelladresse – '''Pflicht bei IPv6-Nachbarn'''<br />
|-<br />
| Interface || Schnittstelle zum Nachbarn<br />
|-<br />
| Detect multiplier / Receive interval / Transmit interval (erweitert) || Standard 3 / 300 ms / 300 ms<br />
|}<br />
Die Gegenseite wird spiegelbildlich konfiguriert.<br />
<br />
== Schritt 3: BFD an Protokolle koppeln ==<br />
=== BGP ===<br />
'''Routing → BGP → Neighbors''' → bestehenden Nachbarn öffnen → '''BFD''' aktivieren. Mit '''BFD Strict Mode''' (seit os-frr 1.53) baut BGP die Session erst auf, wenn die BFD-Sitzung steht, und beendet sie sofort, wenn BFD ausfällt. Siehe [[OPNsense - BGP mit FRR]].<br />
<br />
=== OSPF und OSPFv3 ===<br />
'''Routing → OSPF → Interfaces''' (bzw. ''OSPFv3 → Interfaces'') → Peering-Interface öffnen → '''BFD''' aktivieren. Siehe [[OPNsense - OSPF und OSPFv3 mit FRR]].<br />
<br />
=== Statische Routen (STATIC) ===<br />
'''Routing → STATIC''': ''Enable'', dann unter den Routen ''Network'', ''Gateway'' (Next-Hop) und ''Interface'' eintragen und '''BFD''' aktivieren. Fällt die BFD-Sitzung zum Next-Hop aus, wird die Route zurückgezogen und eine Ausweichroute mit höherer Distanz kann greifen. Voraussetzung ist, dass der Next-Hop ebenfalls BFD spricht und die UDP-Pakete durch die Firewall-Regeln erlaubt sind.<br />
<br />
== Timer richtig wählen ==<br />
{| class="wikitable"<br />
! Einstellung !! Erkennungszeit !! Einsatz<br />
|-<br />
| 300 ms × 3 (Standard) || ca. 0,9 s || LAN, Rechenzentrum, Glasfaser-Anbindungen<br />
|-<br />
| 1000 ms × 3 || ca. 3 s || Internet- und VPN-Strecken mit schwankender Latenz<br />
|-<br />
| 100 ms × 3 || ca. 0,3 s || nur auf sehr stabilen, direkt verbundenen Links<br />
|}<br />
Zu aggressive Timer führen auf ausgelasteten oder instabilen Leitungen zu '''Flapping''' – BFD meldet Ausfälle, die keine sind, und die Routingprotokolle bauen ständig neu auf. Über VPN-Tunnel und Internetleitungen daher eher großzügig wählen. Die tatsächlich verwendeten Intervalle handeln beide Seiten aus (jeweils der langsamere Wert gilt).<br />
<br />
== Diagnose ==<br />
'''Routing → Diagnostics → BFD''' zeigt alle Sitzungen mit Status (''up''/''down''), ausgehandelten Intervallen und Zählern. Zusätzlich protokollieren BGP (''Log Neighbor Changes'') und OSPF (''Log Adjacency Changes'') die durch BFD ausgelösten Wechsel im Log (''Routing → Diagnostics → Log'').<br />
<br />
== Typische Probleme und Lösungen ==<br />
{| class="wikitable"<br />
! Symptom !! Ursache und Lösung<br />
|-<br />
| BFD-Sitzung bleibt ''down'' || Firewall-Regel für UDP 3784 fehlt auf einer Seite, BFD auf der Gegenseite nicht konfiguriert, falsche Peer-IP.<br />
|-<br />
| Sitzung zu einem nicht direkt verbundenen Nachbarn kommt nicht hoch || ''Multihop'' aktivieren, UDP 4784 freigeben, Local Address setzen.<br />
|-<br />
| IPv6-Nachbar funktioniert nicht || ''Local Address'' ist bei IPv6 Pflicht.<br />
|-<br />
| BGP-Session kommt mit Strict Mode nicht zustande || BFD-Sitzung steht nicht – zuerst BFD reparieren.<br />
|-<br />
| Häufige Ausfälle ohne echten Grund (Flapping) || Intervalle zu kurz für die Leitung, CPU-Last oder Paketverlust – Intervalle bzw. Multiplier erhöhen.<br />
|-<br />
| Statische Route wird nicht zurückgezogen || BFD-Option an der Route nicht gesetzt oder der Next-Hop spricht kein BFD.<br />
|}<br />
<br />
== Fazit ==<br />
BFD ist eine kleine Ergänzung mit großer Wirkung: Mit wenigen Einstellungen schalten BGP, OSPF und statische Routen auf der OPNsense in rund einer Sekunde statt in Minuten um. Wichtig sind die Firewall-Regel für UDP 3784, identische Konfiguration auf beiden Seiten und Timer, die zur jeweiligen Leitung passen.<br />
<br />
== Unterstützung von m.a.x. it ==<br />
Sie möchten Standortverbindungen oder Provider-Anbindungen auf OPNsense ausfallsicher machen und Umschaltzeiten minimieren? m.a.x. it unterstützt Sie als OPNsense-Gold-Partner mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services von m.a.x. it] und einer [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[OPNsense - FRR Dynamisches Routing]]<br />
* [[OPNsense - BGP mit FRR]]<br />
* [[OPNsense - OSPF und OSPFv3 mit FRR]]<br />
* [[Dynamisches Routing]]<br />
* [[OPNsense - IPsec Site-to-Site route-based]]<br />
<br />
== Links und Quellen ==<br />
* [https://docs.opnsense.org/manual/dynamic_routing.html OPNsense-Doku – Dynamic Routing (FRR)]<br />
* [https://docs.opnsense.org/manual/how-tos/dynamic_routing_bfd.html OPNsense-Doku – BFD Tutorials]<br />
* [https://docs.frrouting.org/en/latest/bfd.html FRRouting-Dokumentation – BFD]<br />
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:IT-Security]]<br />
</div>imported>TechCorner-Redaktion