imported>TechCorner-Redaktion: Verlinkung auf OPNsense - NetFlow und Insight ergänzt

2026-10-09T00:00:00Z

Verlinkung auf OPNsense - NetFlow und Insight ergänzt

Neue Seite

{{Steckbrief
| gilt_fuer = OPNsense 26.1 und 26.7 (System → Gateways, Firewall → Rules)
| bereich = IT-Security
| dauer = ca. 30 Minuten (Failover zwischen zwei Internetleitungen)
| rechte = Administrator (OPNsense-WebUI), zwei funktionierende WAN-Anschlüsse
| stand = Oktober 2026 (OPNsense 26.7.5)
}}
'''Gateways und Multi-WAN in OPNsense''' sorgen dafür, dass ein Standort mit zwei oder mehr Internetleitungen ausfallsicher bleibt: Fällt die Hauptleitung aus oder wird sie unbrauchbar langsam, schwenkt der Verkehr automatisch auf die Reserve – etwa von Glasfaser auf DSL oder [[5G]]. Alternativ lässt sich der Verkehr auf mehrere Leitungen '''verteilen''' (Load Balancing) oder gezielt bestimmten Leitungen zuordnen. Grundlage sind '''überwachte Gateways''', '''Gateway-Gruppen''' und '''Policy-based Routing''' über Firewall-Regeln.

Dieser Artikel erklärt Gateways, Standard-Gateway und Gateway-Überwachung in OPNsense 26.7 und zeigt Schritt für Schritt WAN-Failover, Load Balancing, die Kombination aus beidem sowie typische Stolperfallen wie DNS, VPN und lokale Dienste.

== Gateways in OPNsense ==
Ein [[Gateway]] ist der nächste Router auf dem Weg in ein anderes Netz – meist der Router bzw. das Modem des Providers. Unter '''System → Gateways → Configuration''' werden alle Gateways verwaltet:
* Gateways '''dynamischer Schnittstellen''' (DHCP, PPPoE) legt OPNsense automatisch an, z. B. <code>WAN_DHCP</code> oder <code>WAN_PPPOE</code>; ihre Einstellungen lassen sich trotzdem anpassen.
* '''Statische Gateways''' werden mit IP-Adresse manuell angelegt (z. B. bei festen IP-Adressen am WAN oder für interne Router).
* Für '''statische Routen''' zu anderen Netzen (''System → Routes → Configuration'') wird ein Gateway als Ziel gewählt.

=== Das Standard-Gateway ===
Pro IP-Version gibt es genau '''ein''' aktives Standard-Gateway (Default Route). OPNsense wählt es so:
# Gateways mit '''Upstream Gateway''' werden bevorzugt,
# danach entscheidet die '''Priority''' (1 = wichtigste, 255 = unwichtigste; automatisch erzeugte Gateways erhalten eine niedrige Priorität),
# überwachte Gateways im Zustand ''offline'' werden übersprungen.
Das gewählte Gateway ist in der Liste mit '''(active)''' markiert; die tatsächliche Routing-Tabelle zeigt ''System → Routes → Status''.

{{Hinweis|Standardmäßig wählt OPNsense das Standard-Gateway nur beim Start oder bei Link-Änderungen neu. Damit es auch bei einem per Monitoring erkannten Ausfall umschaltet, unter '''System → Settings → General''' die Option '''Allow default gateway switching''' aktivieren. Das betrifft vor allem Verkehr der Firewall selbst (DNS, Updates, VPN).}}

=== Gateway-Überwachung ===
OPNsense überwacht Gateways mit ICMP-Pings (Dienst ''dpinger'') und bewertet Laufzeit und Paketverlust:
{| class="wikitable"
! Einstellung !! Standard !! Bedeutung
|-
| '''Monitor IP''' || Gateway-Adresse || besser eine '''zuverlässige Adresse im Internet''' (z. B. ein öffentlicher DNS-Server), damit nicht nur das Modem, sondern die Leitung geprüft wird; je Gateway eine '''andere''' Adresse
|-
| Latency Low / High Threshold || 200 / 500 ms || Schwellen für erhöhte Latenz
|-
| Packet Loss Low / High Threshold || 10 / 20 % || Schwellen für Paketverlust
|-
| Probe Interval || 1 s || Abstand der Pings
|-
| Time Period || 60 s || Zeitraum für die Mittelwerte
|-
| Loss Interval || 4 s || Wartezeit, bis ein Ping als verloren gilt
|-
| Disable Host Route || aus || OPNsense legt für die Monitor-IP eine Host-Route über dieses Gateway an – nicht deaktivieren, sonst wird ggf. über die falsche Leitung gemessen
|}
Weitere Optionen: '''Failover States''' (bei Ausfall bestehende Verbindungen dieses Gateways beenden, damit Clients über die Reserve neu verbinden), '''Failback States''' (Verbindungen über ein Reserve-Gateway beenden, sobald ein wichtigeres wieder online ist – z. B. für Mobilfunk mit Volumentarif), '''Mark Gateway as Down''' (manuell abschalten, etwa für Wartung) und '''Weight''' für die Lastverteilung.

[[Datei:OPNsense-Multi-WAN.png|thumb|center|750px|Multi-WAN auf der OPNsense: Zwei überwachte Gateways (Glasfaser Tier 1, LTE/5G Tier 2) bilden eine Gateway-Gruppe; die LAN-Regel leitet Verkehr per Policy-based Routing über die Gruppe, Verkehr zu internen Netzen und zur Firewall selbst läuft ohne Gateway-Zuordnung.]]

== Gateway-Gruppen ==
'''System → Gateways → Group''' fasst mehrere Gateways zusammen und ordnet sie in bis zu '''fünf Tiers''' ein:
* '''Gleicher Tier''' → Lastverteilung zwischen diesen Gateways (gemäß ''Weight'').
* '''Unterschiedliche Tiers''' → Failover: Tier 2 wird erst genutzt, wenn kein Gateway aus Tier 1 verfügbar ist.
Der '''Trigger Level''' legt fest, wann ein Gateway ausscheidet:
{| class="wikitable"
! Trigger Level !! Auslöser
|-
| Member Down || 100 % Paketverlust
|-
| Packet Loss || Paketverlust über dem Schwellwert
|-
| High Latency || Latenz über dem Schwellwert
|-
| Packet Loss or High Latency || eines von beiden
|}

== Szenario 1: WAN-Failover ==
Beispiel: ''WAN'' (Glasfaser) als Hauptleitung, ''WAN2'' (LTE/5G-Router) als Reserve. Beide Leitungen funktionieren einzeln, und beide Schnittstellen haben ihr Gateway in der Interface-Konfiguration – so erzeugt OPNsense automatisch die Source-NAT-Regeln je WAN und die Rückweg-Regeln (''reply-to'').
# '''Monitor IPs''': unter ''System → Gateways → Configuration'' für ''WAN_GW'' z. B. <code>9.9.9.9</code>, für ''WAN2_GW'' <code>1.1.1.1</code> eintragen, Monitoring aktiv lassen.
# '''Gateway-Gruppe''' ''WAN_FAILOVER'': ''WAN_GW'' → Tier 1, ''WAN2_GW'' → Tier 2, Trigger Level ''Packet Loss or High Latency''.
# '''DNS je Gateway''': unter ''System → Settings → General'' je einen DNS-Server mit zugehörigem Gateway eintragen (z. B. <code>9.9.9.9</code> über WAN_GW, <code>1.1.1.1</code> über WAN2_GW) und '''Allow default gateway switching''' aktivieren.
# '''Policy-based Routing''': unter [[OPNsense - Firewall-Regeln|''Firewall → Rules'']] (Schnittstelle LAN) in der allgemeinen Pass-Regel ins Internet als '''Gateway''' die Gruppe ''WAN_FAILOVER'' wählen.
# '''Ausnahmen davor''': Regeln '''ohne''' Gateway (''default'') '''oberhalb''' der Gruppenregel für Ziele, die nicht über die Gruppe laufen dürfen – die Firewall selbst (DNS an die LAN-Adresse, Weboberfläche) sowie alle internen Netze und VPN-Netze (z. B. Alias ''RFC1918'').
# Optional bei beiden Gateways '''Failover States''' aktivieren und bei der LTE-Reserve '''Failback States''', damit nach Rückkehr der Glasfaser keine Verbindungen dauerhaft über Mobilfunk laufen.

{{Hinweis|Policy-based Routing umgeht die normale Routing-Tabelle: Eine Regel ''LAN → any'' mit Gateway-Gruppe würde auch Verkehr zu anderen internen Netzen, VPN-Tunneln oder zur Firewall selbst ins Internet schicken. Deshalb müssen Regeln für interne Ziele '''ohne Gateway''' davor stehen.}}

== Szenario 2: Load Balancing ==
Beide Gateways in '''denselben Tier''' der Gruppe legen; über '''Weight''' (1–10) lässt sich die Verteilung gewichten, z. B. 3:1 bei 300 und 100 Mbit/s. Wichtig:
* Die Verteilung erfolgt '''pro Verbindung''', nicht pro Paket – ein einzelner Download wird nicht schneller.
* Manche Dienste (Online-Banking, Webportale mit Sitzungsbindung an die IP) reagieren empfindlich auf wechselnde Absenderadressen. Abhilfe: unter '''Firewall → Settings → Advanced''' '''Use sticky connections''' aktivieren (bzw. die ''Pool Options'' der Gruppe) oder solche Ziele per eigener Regel fest einer Leitung zuordnen.

== Szenario 3: Balancing und Failover kombiniert ==
Zwei Festnetzleitungen in Tier 1 (Lastverteilung), eine Mobilfunkleitung in Tier 2 (nur bei Ausfall beider). Mit fünf Tiers lassen sich beliebige Abstufungen bauen. Wie sich der Verkehr tatsächlich auf die Leitungen verteilt, zeigt [[OPNsense - NetFlow und Insight|Reporting → Insight]] pro Schnittstelle.

== Szenario 4: Bestimmter Verkehr über bestimmte Leitungen ==
Policy-based Routing funktioniert auch ohne Gruppe: Eine Firewall-Regel mit einem '''einzelnen Gateway''' schickt z. B. das Gästenetz immer über die günstigere Leitung, Telefonie über die Leitung mit der festen IP oder Backups über die zweite Leitung. Mit '''Skip rules when gateway is down''' (''Firewall → Settings → Advanced'') werden solche Regeln übersprungen, wenn das Gateway ausgefallen ist – sonst wird der Verkehr ohne Gateway über die normale Route geleitet.

== Multi-WAN und weitere Dienste ==
* '''VPN''': [[OPNsense - WireGuard Site-to-Site und Road Warrior|WireGuard]], [[OPNsense - IPsec Site-to-Site route-based|IPsec]] und [[OPNsense - OpenVPN Site-to-Site und Client-VPN|OpenVPN]] nutzen die Routing-Tabelle der Firewall – mit ''Allow default gateway switching'' wechseln sie bei Ausfall die Leitung. Robuster sind zwei Tunnel über beide Leitungen mit Gateway-Gruppe oder dynamischem Routing ([[OPNsense - BGP mit FRR|BGP]]).
* '''Eingehende Dienste''' ([[OPNsense - NAT und Portweiterleitungen|Portweiterleitungen]], Reverse Proxy) sind über jede Leitung mit eigener öffentlicher Adresse erreichbar; DNS-Einträge bzw. ein DNS-Failover beim Provider müssen dazu passen.
* '''DNS''': [[OPNsense - Unbound DNS Resolver|Unbound]] nutzt die Routing-Tabelle der Firewall – daher Gateway Switching aktivieren.
* '''HA-Cluster''': Gateways werden per Synchronisation übertragen (''Disable HA sync'' für abweichende Einträge); Source NAT jeweils auf die CARP-Adresse der WAN-Schnittstellen (siehe [[OPNsense - Hochverfügbarkeit mit CARP und pfsync]]).

== Status und Fehlersuche ==
* ''System → Gateways → Configuration'': Status, RTT, Abweichung und Verlust je Gateway; Dashboard-Widget ''Gateways''.
* ''System → Gateways → Log File'': Statuswechsel (online/offline, Alarm).
* ''System → Routes → Status'': aktuelle Default-Route.
* ''Interfaces → Diagnostics → Ping'' mit Quelle der jeweiligen WAN-Schnittstelle zum Test der Monitor-IP.
{| class="wikitable"
! Symptom !! Ursache und Lösung
|-
| Gateway dauerhaft ''offline'' || Monitor-IP über diese Leitung nicht erreichbar oder blockiert ICMP; andere Monitor-IP wählen; ''Disable Host Route'' nicht aktiv lassen.
|-
| Gateway „flappt“ zwischen online und offline || Schwellwerte zu streng für die Leitung (z. B. Mobilfunk) – Latenz-/Verlust-Schwellen oder Time Period erhöhen.
|-
| LAN fällt nicht auf die Reserve um || Pass-Regel ohne Gateway-Gruppe, falscher Trigger Level, Monitor-IP der Reserve identisch mit der der Hauptleitung.
|-
| Firewall selbst (Updates, DNS, VPN) nutzt die tote Leitung || ''Allow default gateway switching'' aus oder DNS-Server nicht je Gateway eingetragen.
|-
| Interne Netze/VPN nicht mehr erreichbar || Gruppenregel mit Ziel ''any'' fängt internen Verkehr ab – Ausnahmeregeln ohne Gateway davor setzen.
|-
| Antworten gehen über die falsche Leitung || Gateway in der WAN-Schnittstelle nicht gesetzt (fehlende ''reply-to''-Regeln) oder Source NAT nicht je WAN.
|-
| Nach Rückkehr der Hauptleitung bleiben Verbindungen auf der Reserve || ''Failback States'' am Reserve-Gateway aktivieren.
|-
| Webportale melden ständig ab || Load Balancing mit wechselnder Absender-IP – Sticky connections oder feste Zuordnung.
|}

== Fazit ==
Mit überwachten Gateways, Gateway-Gruppen und Policy-based Routing bietet OPNsense ein vollwertiges Multi-WAN: automatisches Failover auf eine Reserveleitung, Lastverteilung über mehrere Anschlüsse oder die gezielte Zuordnung von Netzen und Diensten zu bestimmten Leitungen. Entscheidend sind eindeutige Monitor-IPs je Leitung, passende Schwellwerte, Gateway Switching für den Verkehr der Firewall selbst und Ausnahmeregeln ohne Gateway für interne Ziele.

== Unterstützung von m.a.x. it ==
Sie möchten Ihren Standort mit einer zweiten Leitung oder einer LTE/5G-Reserve ausfallsicher machen oder mehrere Anschlüsse intelligent nutzen? m.a.x. it unterstützt Sie als OPNsense-Gold-Partner mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services von m.a.x. it] und einer [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it].

== Siehe auch ==
* [[OPNsense - NetFlow und Insight]]
* [[OPNsense - Firewall-Regeln]]
* [[OPNsense - NAT und Portweiterleitungen]]
* [[Gateway]]
* [[Failover]]
* [[5G]]
* [[OPNsense - Hochverfügbarkeit mit CARP und pfsync]]
* [[OPNsense - FRR Dynamisches Routing]]
* [[OPNsense - Traffic Shaper und QoS]]
* [[OPNsense - WireGuard Site-to-Site und Road Warrior]]

== Links und Quellen ==
* [https://docs.opnsense.org/manual/gateways.html OPNsense-Doku – Gateways]
* [https://docs.opnsense.org/manual/multiwan.html OPNsense-Doku – Gateway groups / Multi WAN]
* [https://docs.opnsense.org/manual/how-tos/multiwan.html OPNsense-Doku – Multi WAN How-to]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense - Gateways und Multi-WAN - Versionsgeschichte

imported>TechCorner-Redaktion: Verlinkung auf OPNsense - NetFlow und Insight ergänzt