Warum wir Firewalls grundsätzlich als Cluster bauen

Eine einzelne Firewall ist ein Single Point of Failure vor allem, was Sie betreiben. Warum bei HOST SMITH jede OPNsense doppelt läuft — und was CARP-Failover in der Praxis bedeutet.

Die Firewall ist das eine Gerät, durch das jedes Paket muss. Fällt sie aus, ist nicht eine Anwendung weg, sondern alle: Webseiten, APIs, VPN-Zugänge, Monitoring. Trotzdem wird sie in vielen Umgebungen als einzelne Instanz betrieben — meist mit dem Argument, sie sei "noch nie ausgefallen". Bis zum ersten Mal.

Ausfall heißt nicht nur Defekt

Der seltenste Grund für eine tote Firewall ist kaputte Hardware. Viel häufiger: ein Update, das einen Neustart verlangt. Eine Konfigurationsänderung mit Nebenwirkung. Ein volles Log-Volume. Wer nur eine Instanz hat, plant für jedes Routine-Update ein Wartungsfenster mit Komplettausfall — und schiebt Updates deshalb auf. Aufgeschobene Firewall-Updates sind ein Sicherheitsproblem mit Ansage.

CARP: zwei Firewalls, eine Adresse

Bei HOST SMITH läuft OPNsense deshalb grundsätzlich als 2-Node-Cluster. Beide Instanzen teilen sich virtuelle IP-Adressen über CARP (Common Address Redundancy Protocol): Nach außen existiert nur eine Adresse, intern verhandeln die beiden Firewalls, wer sie gerade trägt. Fällt der Master aus — oder wird er für ein Update neu gestartet —, übernimmt der Backup-Node in unter einer Sekunde.

pfsync: auch die Verbindungen ziehen um

Failover der IP-Adresse allein würde bestehende Verbindungen abreißen lassen. Deshalb synchronisiert pfsync die Zustandstabelle beider Firewalls laufend: Jede aktive Verbindung — jede SSH-Session, jeder Download, jeder VPN-Tunnel — ist auf beiden Nodes bekannt. Beim Failover laufen Verbindungen einfach weiter. In unseren Failover-Tests bemerken Anwendungen den Wechsel schlicht nicht.

Was das im Alltag ändert

Updates werden langweilig: erst der Backup-Node, Failover, dann der andere — mitten am Tag, ohne Wartungsfenster. Genau deshalb sind unsere Firewalls aktuell. Und der Ernstfall ist geprobt: Wir lösen Failover regelmäßig absichtlich aus, damit er im echten Ausfall kein Experiment ist. Eine Redundanz, die nie getestet wurde, ist Dekoration.

Kurz: Eine einzelne Firewall spart einmalig ein paar hundert Euro und kostet dafür bei jedem Update Nerven und im Ernstfall den ganzen Betrieb. Als Cluster ist die Firewall das, was sie sein sollte — unsichtbar.