OPNsense - Gateways und Multi-WAN
Auf einen Blick
| Gilt für | OPNsense 26.1 und 26.7 (System → Gateways, Firewall → Rules) |
|---|---|
| Bereich | IT-Security |
| Dauer | ca. 30 Minuten (Failover zwischen zwei Internetleitungen) |
| Rechte | Administrator (OPNsense-WebUI), zwei funktionierende WAN-Anschlüsse |
| Stand | Oktober 2026 (OPNsense 26.7.5) |
Gateways und Multi-WAN in OPNsense sorgen dafür, dass ein Standort mit zwei oder mehr Internetleitungen ausfallsicher bleibt: Fällt die Hauptleitung aus oder wird sie unbrauchbar langsam, schwenkt der Verkehr automatisch auf die Reserve – etwa von Glasfaser auf DSL oder 5G. Alternativ lässt sich der Verkehr auf mehrere Leitungen verteilen (Load Balancing) oder gezielt bestimmten Leitungen zuordnen. Grundlage sind überwachte Gateways, Gateway-Gruppen und Policy-based Routing über Firewall-Regeln.
Dieser Artikel erklärt Gateways, Standard-Gateway und Gateway-Überwachung in OPNsense 26.7 und zeigt Schritt für Schritt WAN-Failover, Load Balancing, die Kombination aus beidem sowie typische Stolperfallen wie DNS, VPN und lokale Dienste.
Gateways in OPNsense
Ein Gateway ist der nächste Router auf dem Weg in ein anderes Netz – meist der Router bzw. das Modem des Providers. Unter System → Gateways → Configuration werden alle Gateways verwaltet:
- Gateways dynamischer Schnittstellen (DHCP, PPPoE) legt OPNsense automatisch an, z. B.
WAN_DHCPoderWAN_PPPOE; ihre Einstellungen lassen sich trotzdem anpassen. - Statische Gateways werden mit IP-Adresse manuell angelegt (z. B. bei festen IP-Adressen am WAN oder für interne Router).
- Für statische Routen zu anderen Netzen (System → Routes → Configuration) wird ein Gateway als Ziel gewählt.
Das Standard-Gateway
Pro IP-Version gibt es genau ein aktives Standard-Gateway (Default Route). OPNsense wählt es so:
- Gateways mit Upstream Gateway werden bevorzugt,
- danach entscheidet die Priority (1 = wichtigste, 255 = unwichtigste; automatisch erzeugte Gateways erhalten eine niedrige Priorität),
- überwachte Gateways im Zustand offline werden übersprungen.
Das gewählte Gateway ist in der Liste mit (active) markiert; die tatsächliche Routing-Tabelle zeigt System → Routes → Status.
Gateway-Überwachung
OPNsense überwacht Gateways mit ICMP-Pings (Dienst dpinger) und bewertet Laufzeit und Paketverlust:
| Einstellung | Standard | Bedeutung |
|---|---|---|
| Monitor IP | Gateway-Adresse | besser eine zuverlässige Adresse im Internet (z. B. ein öffentlicher DNS-Server), damit nicht nur das Modem, sondern die Leitung geprüft wird; je Gateway eine andere Adresse |
| Latency Low / High Threshold | 200 / 500 ms | Schwellen für erhöhte Latenz |
| Packet Loss Low / High Threshold | 10 / 20 % | Schwellen für Paketverlust |
| Probe Interval | 1 s | Abstand der Pings |
| Time Period | 60 s | Zeitraum für die Mittelwerte |
| Loss Interval | 4 s | Wartezeit, bis ein Ping als verloren gilt |
| Disable Host Route | aus | OPNsense legt für die Monitor-IP eine Host-Route über dieses Gateway an – nicht deaktivieren, sonst wird ggf. über die falsche Leitung gemessen |
Weitere Optionen: Failover States (bei Ausfall bestehende Verbindungen dieses Gateways beenden, damit Clients über die Reserve neu verbinden), Failback States (Verbindungen über ein Reserve-Gateway beenden, sobald ein wichtigeres wieder online ist – z. B. für Mobilfunk mit Volumentarif), Mark Gateway as Down (manuell abschalten, etwa für Wartung) und Weight für die Lastverteilung.
Gateway-Gruppen
System → Gateways → Group fasst mehrere Gateways zusammen und ordnet sie in bis zu fünf Tiers ein:
- Gleicher Tier → Lastverteilung zwischen diesen Gateways (gemäß Weight).
- Unterschiedliche Tiers → Failover: Tier 2 wird erst genutzt, wenn kein Gateway aus Tier 1 verfügbar ist.
Der Trigger Level legt fest, wann ein Gateway ausscheidet:
| Trigger Level | Auslöser |
|---|---|
| Member Down | 100 % Paketverlust |
| Packet Loss | Paketverlust über dem Schwellwert |
| High Latency | Latenz über dem Schwellwert |
| Packet Loss or High Latency | eines von beiden |
Szenario 1: WAN-Failover
Beispiel: WAN (Glasfaser) als Hauptleitung, WAN2 (LTE/5G-Router) als Reserve. Beide Leitungen funktionieren einzeln, und beide Schnittstellen haben ihr Gateway in der Interface-Konfiguration – so erzeugt OPNsense automatisch die Source-NAT-Regeln je WAN und die Rückweg-Regeln (reply-to).
- Monitor IPs: unter System → Gateways → Configuration für WAN_GW z. B.
9.9.9.9, für WAN2_GW1.1.1.1eintragen, Monitoring aktiv lassen. - Gateway-Gruppe WAN_FAILOVER: WAN_GW → Tier 1, WAN2_GW → Tier 2, Trigger Level Packet Loss or High Latency.
- DNS je Gateway: unter System → Settings → General je einen DNS-Server mit zugehörigem Gateway eintragen (z. B.
9.9.9.9über WAN_GW,1.1.1.1über WAN2_GW) und Allow default gateway switching aktivieren. - Policy-based Routing: unter Firewall → Rules (Schnittstelle LAN) in der allgemeinen Pass-Regel ins Internet als Gateway die Gruppe WAN_FAILOVER wählen.
- Ausnahmen davor: Regeln ohne Gateway (default) oberhalb der Gruppenregel für Ziele, die nicht über die Gruppe laufen dürfen – die Firewall selbst (DNS an die LAN-Adresse, Weboberfläche) sowie alle internen Netze und VPN-Netze (z. B. Alias RFC1918).
- Optional bei beiden Gateways Failover States aktivieren und bei der LTE-Reserve Failback States, damit nach Rückkehr der Glasfaser keine Verbindungen dauerhaft über Mobilfunk laufen.
Szenario 2: Load Balancing
Beide Gateways in denselben Tier der Gruppe legen; über Weight (1–10) lässt sich die Verteilung gewichten, z. B. 3:1 bei 300 und 100 Mbit/s. Wichtig:
- Die Verteilung erfolgt pro Verbindung, nicht pro Paket – ein einzelner Download wird nicht schneller.
- Manche Dienste (Online-Banking, Webportale mit Sitzungsbindung an die IP) reagieren empfindlich auf wechselnde Absenderadressen. Abhilfe: unter Firewall → Settings → Advanced Use sticky connections aktivieren (bzw. die Pool Options der Gruppe) oder solche Ziele per eigener Regel fest einer Leitung zuordnen.
Szenario 3: Balancing und Failover kombiniert
Zwei Festnetzleitungen in Tier 1 (Lastverteilung), eine Mobilfunkleitung in Tier 2 (nur bei Ausfall beider). Mit fünf Tiers lassen sich beliebige Abstufungen bauen. Wie sich der Verkehr tatsächlich auf die Leitungen verteilt, zeigt Reporting → Insight pro Schnittstelle.
Szenario 4: Bestimmter Verkehr über bestimmte Leitungen
Policy-based Routing funktioniert auch ohne Gruppe: Eine Firewall-Regel mit einem einzelnen Gateway schickt z. B. das Gästenetz immer über die günstigere Leitung, Telefonie über die Leitung mit der festen IP oder Backups über die zweite Leitung. Mit Skip rules when gateway is down (Firewall → Settings → Advanced) werden solche Regeln übersprungen, wenn das Gateway ausgefallen ist – sonst wird der Verkehr ohne Gateway über die normale Route geleitet.
Multi-WAN und weitere Dienste
- VPN: WireGuard, IPsec und OpenVPN nutzen die Routing-Tabelle der Firewall – mit Allow default gateway switching wechseln sie bei Ausfall die Leitung. Robuster sind zwei Tunnel über beide Leitungen mit Gateway-Gruppe oder dynamischem Routing (BGP).
- Eingehende Dienste (Portweiterleitungen, Reverse Proxy) sind über jede Leitung mit eigener öffentlicher Adresse erreichbar; DNS-Einträge bzw. ein DNS-Failover beim Provider müssen dazu passen.
- DNS: Unbound nutzt die Routing-Tabelle der Firewall – daher Gateway Switching aktivieren.
- HA-Cluster: Gateways werden per Synchronisation übertragen (Disable HA sync für abweichende Einträge); Source NAT jeweils auf die CARP-Adresse der WAN-Schnittstellen (siehe OPNsense - Hochverfügbarkeit mit CARP und pfsync).
Status und Fehlersuche
- System → Gateways → Configuration: Status, RTT, Abweichung und Verlust je Gateway; Dashboard-Widget Gateways.
- System → Gateways → Log File: Statuswechsel (online/offline, Alarm).
- System → Routes → Status: aktuelle Default-Route.
- Interfaces → Diagnostics → Ping mit Quelle der jeweiligen WAN-Schnittstelle zum Test der Monitor-IP.
| Symptom | Ursache und Lösung |
|---|---|
| Gateway dauerhaft offline | Monitor-IP über diese Leitung nicht erreichbar oder blockiert ICMP; andere Monitor-IP wählen; Disable Host Route nicht aktiv lassen. |
| Gateway „flappt“ zwischen online und offline | Schwellwerte zu streng für die Leitung (z. B. Mobilfunk) – Latenz-/Verlust-Schwellen oder Time Period erhöhen. |
| LAN fällt nicht auf die Reserve um | Pass-Regel ohne Gateway-Gruppe, falscher Trigger Level, Monitor-IP der Reserve identisch mit der der Hauptleitung. |
| Firewall selbst (Updates, DNS, VPN) nutzt die tote Leitung | Allow default gateway switching aus oder DNS-Server nicht je Gateway eingetragen. |
| Interne Netze/VPN nicht mehr erreichbar | Gruppenregel mit Ziel any fängt internen Verkehr ab – Ausnahmeregeln ohne Gateway davor setzen. |
| Antworten gehen über die falsche Leitung | Gateway in der WAN-Schnittstelle nicht gesetzt (fehlende reply-to-Regeln) oder Source NAT nicht je WAN. |
| Nach Rückkehr der Hauptleitung bleiben Verbindungen auf der Reserve | Failback States am Reserve-Gateway aktivieren. |
| Webportale melden ständig ab | Load Balancing mit wechselnder Absender-IP – Sticky connections oder feste Zuordnung. |
Fazit
Mit überwachten Gateways, Gateway-Gruppen und Policy-based Routing bietet OPNsense ein vollwertiges Multi-WAN: automatisches Failover auf eine Reserveleitung, Lastverteilung über mehrere Anschlüsse oder die gezielte Zuordnung von Netzen und Diensten zu bestimmten Leitungen. Entscheidend sind eindeutige Monitor-IPs je Leitung, passende Schwellwerte, Gateway Switching für den Verkehr der Firewall selbst und Ausnahmeregeln ohne Gateway für interne Ziele.
Unterstützung von m.a.x. it
Sie möchten Ihren Standort mit einer zweiten Leitung oder einer LTE/5G-Reserve ausfallsicher machen oder mehrere Anschlüsse intelligent nutzen? m.a.x. it unterstützt Sie als OPNsense-Gold-Partner mit OPNsense-Firewall-Services von m.a.x. it und einer Managed Firewall von m.a.x. it.
Siehe auch
- OPNsense - NetFlow und Insight
- OPNsense - Firewall-Regeln
- OPNsense - NAT und Portweiterleitungen
- Gateway
- Failover
- 5G
- OPNsense - Hochverfügbarkeit mit CARP und pfsync
- OPNsense - FRR Dynamisches Routing
- OPNsense - Traffic Shaper und QoS
- OPNsense - WireGuard Site-to-Site und Road Warrior
Links und Quellen
- OPNsense-Doku – Gateways
- OPNsense-Doku – Gateway groups / Multi WAN
- OPNsense-Doku – Multi WAN How-to
- m.a.x. it – OPNsense-Firewall-Services
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
