Awaria łącza internetowego w firmie to dziś zatrzymanie pracy: nie działa poczta, system księgowy w chmurze, telefony VoIP ani płatności kartą. Najprostsze zabezpieczenie to drugie łącze i firewall, który sam przełączy ruch, gdy pierwsze przestanie działać. W pfSense nazywa się to Multi-WAN – i nie wymaga żadnych dodatkowych licencji.
W tym poradniku krok po kroku skonfigurujemy failover: firma na co dzień korzysta z łącza głównego (np. światłowodu), a gdy ono padnie, pfSense w ciągu kilkunastu sekund przełącza ruch na łącze zapasowe (np. LTE/5G). Po powrocie łącza głównego ruch wraca na nie automatycznie.
Failover czy równoważenie obciążenia?
- Failover (przełączanie awaryjne) – cały ruch idzie łączem głównym, zapasowe czeka w gotowości. Najprostsze i najbardziej przewidywalne rozwiązanie. Polecamy je większości firm.
- Load balancing (równoważenie obciążenia) – ruch jest rozdzielany między oba łącza jednocześnie. Daje większą łączną przepustowość, ale część serwisów (np. bankowość internetowa) nie lubi, gdy kolejne połączenia przychodzą z różnych adresów IP.
W pfSense oba tryby konfiguruje się tak samo – różnicę robi jedno ustawienie w grupie bram (tzw. tier). Ten poradnik opisuje failover.
Zanim zaczniesz
- Dwa różne łącza. Najlepiej różnych operatorów i różnych technologii – np. światłowód + LTE/5G albo światłowód + sieć kablowa. Dwa łącza tego samego typu często biegną tym samym kablem lub przez tę samą centralę i psują się razem.
- Wolny port w firewallu. Każde łącze potrzebuje osobnego portu. Netgate 1100 ma do tego port OPT, a Netgate 4200 – cztery niezależne porty 2,5 GbE. Zobacz porównanie modeli.
- Działająca konfiguracja z jednym łączem (WAN + LAN) i aktualny pfSense Plus.
- Kopia konfiguracji – Diagnostics > Backup & Restore.
Krok 1. Dodaj drugi interfejs WAN
- Podłącz drugie łącze (np. router LTE) do wolnego portu firewalla.
- Przejdź do Interfaces > Assignments, wybierz wolny port z listy Available network ports i kliknij Add.
- Kliknij nowy interfejs (np. OPT1), zaznacz Enable interface i nadaj mu opisową nazwę w polu Description, np.
WAN2_LTE. - W IPv4 Configuration Type wybierz to, czego wymaga łącze – najczęściej DHCP (router LTE) lub Static IPv4 (adres od operatora wraz z bramą).
- Kliknij Save, a potem Apply Changes.
pfSense automatycznie traktuje każdy interfejs z bramą jak WAN i dodaje dla niego regułę NAT wychodzącego – nie trzeba nic zmieniać w Firewall > NAT > Outbound, jeśli tryb NAT jest automatyczny.
Krok 2. Ustaw monitorowanie bram
pfSense sprawdza, czy łącze działa, wysyłając co chwilę pingi. Domyślnie pinguje bramę operatora – ale ta często odpowiada nawet wtedy, gdy dalej w sieci operatora jest awaria. Dlatego lepiej monitorować adres w internecie.
- Przejdź do System > Routing > Gateways.
- Edytuj bramę łącza głównego i w polu Monitor IP wpisz np.
1.1.1.1. - Edytuj bramę łącza zapasowego i wpisz inny adres, np.
9.9.9.9. Każda brama musi mieć unikalny adres monitorowania. - Zapisz i zastosuj zmiany.
Domyślne progi są rozsądne: ostrzeżenie przy opóźnieniu 200 ms lub 10% utraty pakietów, awaria przy 500 ms lub 20% utraty pakietów. Można je zmienić w ustawieniach zaawansowanych bramy.
Krok 3. Utwórz grupę bram
- W System > Routing otwórz zakładkę Gateway Groups i kliknij Add.
- Group Name:
WAN_FAILOVER(tylko litery, cyfry i podkreślenia). - Gateway Priority: łącze główne – Tier 1, łącze zapasowe – Tier 2.
- Trigger Level: na początek Member Down (przełączenie przy całkowitym braku łączności). Jeśli łącze główne zdarza się „ledwo działać”, wybierz Packet Loss or High Latency – pfSense przełączy też przy dużych stratach lub opóźnieniach.
- Description: np. Światłowód, zapasowo LTE. Zapisz i zastosuj.
Tier = priorytet. Łącza na różnych poziomach (Tier 1, Tier 2) działają jako główne i zapasowe. Gdyby oba miały Tier 1, pfSense rozdzielałby między nie ruch – to właśnie load balancing.
Krok 4. Ustaw grupę jako bramę domyślną
- Wróć do System > Routing > Gateways.
- W polu Default gateway IPv4 wybierz
WAN_FAILOVER. - Zapisz i zastosuj.
Dzięki temu na łącze zapasowe przełącza się także ruch samego firewalla: aktualizacje, rozwiązywanie nazw DNS i powiadomienia.
Krok 5. Skieruj ruch z sieci LAN przez grupę
- Przejdź do Firewall > Rules > LAN.
- Edytuj regułę zezwalającą na ruch z sieci LAN do internetu (domyślnie Default allow LAN to any rule).
- Kliknij Display Advanced i w polu Gateway wybierz
WAN_FAILOVER. - Zapisz i zastosuj. Jeśli masz więcej sieci (VLAN-y dla gości, kamer itp.), zrób to samo w ich regułach.
Ruch do innych sieci lokalnych i tuneli VPN nie zostanie przy tym skierowany do internetu – pfSense automatycznie dodaje wyjątki dla sieci, które zna.
Krok 6. DNS dla dwóch łączy
Domyślnie pfSense rozwiązuje nazwy samodzielnie (DNS Resolver w trybie rekurencyjnym). W tym trybie wystarczy krok 4 – przy awarii zapytania DNS pójdą łączem zapasowym.
Jeśli korzystasz z zewnętrznych serwerów DNS (tryb przekazywania, forwarding), w System > General Setup wpisz co najmniej jeden serwer DNS dla każdego łącza i przypisz mu bramę – np. 1.0.0.1 przez łącze główne i 149.112.112.112 przez zapasowe. Nie używaj tu tych samych adresów co w polach Monitor IP.
Krok 7. Zrywanie połączeń przy awarii
Połączenia otwarte przed awarią (np. sesja w systemie w chmurze) mogą „wisieć” na niedziałającym łączu. Żeby szybko przeszły na łącze zapasowe:
- w System > Advanced > Miscellaneous, w sekcji Gateway Monitoring, ustaw opcję State Killing on Gateway Failure tak, by stany połączeń były zrywane przy awarii bramy;
- w ustawieniach grupy bram opcja Keep Failover States decyduje, czy po powrocie łącza głównego połączenia zostają na zapasowym (do ich zakończenia), czy od razu wracają na główne.
Użytkownik zauważy przy przełączeniu najwyżej krótką przerwę – zwykle wystarczy odświeżyć stronę.
Krok 8. Przetestuj
- Otwórz Status > Gateways – obie bramy powinny mieć status Online. Warto też dodać widżet Gateways na stronie głównej.
- Na komputerze w sieci LAN uruchom ciągły ping, np.
ping -t 1.1.1.1(Windows). - Odłącz kabel łącza głównego. Po kilku–kilkunastu sekundach brama zmieni status na Offline, a ping wróci – już przez łącze zapasowe.
- Sprawdź swój publiczny adres IP w przeglądarce (np. wyszukując „jaki mam adres IP”) – powinien być adresem łącza zapasowego.
- Podłącz kabel z powrotem i sprawdź, czy ruch wrócił na łącze główne.
Warto też skonfigurować powiadomienia e-mail w System > Advanced > Notifications – dowiesz się o awarii łącza, zanim zadzwoni do Ciebie pierwszy pracownik.
O czym pamiętać
- Usługi dostępne z zewnątrz. VPN dla pracowników zdalnych, przekierowane porty czy serwer pocztowy działają na adresie IP konkretnego łącza. Po awarii łącza głównego są dostępne tylko wtedy, gdy klienci znają też adres łącza zapasowego – np. przez drugi wpis w konfiguracji VPN albo dynamiczny DNS.
- LTE/5G za CGNAT. Wiele ofert mobilnych nie daje publicznego adresu IP. Wychodzący ruch działa bez problemu, ale nikt z zewnątrz nie połączy się z firmą przez takie łącze.
- Limity danych. Przy zapasowym łączu LTE sprawdź limit transferu – kilkugodzinna awaria w dużym biurze potrafi go szybko wyczerpać.
- Tunele site-to-site. IPsec między oddziałami wymaga osobnej konfiguracji pod dwa łącza.
- Pojedynczy punkt awarii. Dwa łącza chronią przed awarią operatora, ale nie przed awarią samego firewalla. Tam, gdzie przestój jest nie do przyjęcia, stosuje się dwa urządzenia w klastrze wysokiej dostępności (CARP).
Potrzebujesz pomocy?
Konfiguracja Multi-WAN to jedna z najczęstszych prac, które wykonujemy przy wdrożeniach. Pomożemy dobrać drugie łącze i urządzenie z odpowiednią liczbą portów, skonfigurujemy failover lub równoważenie obciążenia, a także VPN działający na obu łączach.
Masz pytania? Napisz do nas: kontakt@itessential.pl