OPNsense Multi-WAN einrichten: Redundante Internetverbindung

Wer im Homeoffice, im kleinen Unternehmen oder in einem größeren Netzwerk auf eine stabile Internetverbindung angewiesen ist, braucht eine Lösung für den Fall, dass die Leitung ausfällt. Mit OPNsense und Multi-WAN kannst du mehrere Internetanschlüsse parallel nutzen und bei einem Ausfall automatisch auf eine zweite Verbindung wechseln.

Was Multi-WAN in OPNsense leistet

Multi-WAN bedeutet, dass OPNsense mehrere WAN-Verbindungen gleichzeitig verwalten kann. Du kannst die Anschlüsse entweder als Failover-Lösung oder für Load Balancing einsetzen, je nachdem, ob dir maximale Ausfallsicherheit oder eine bessere Lastverteilung wichtiger ist.

Im Alltag sorgt das dafür, dass dein Netzwerk online bleibt, selbst wenn ein Anbieter Probleme hat. Für Homeoffice, VPN-Zugänge, Cloud-Dienste und VoIP ist das ein großer Vorteil.

Voraussetzungen

Bevor du mit der Konfiguration beginnst, solltest du diese Punkte prüfen:

• Mindestens zwei unabhängige Internetverbindungen, zum Beispiel DSL, Kabel, Glasfaser oder LTE/5G.
• Eine OPNsense-Firewall mit mindestens zwei freien Netzwerkports für die WAN-Interfaces.
• Zugangsdaten und Verbindungsart der jeweiligen Provider, etwa DHCP, statisch oder PPPoE.

WAN-Interfaces konfigurieren

Zuerst müssen beide Internetleitungen sauber als Interfaces in OPNsense angelegt werden. Die Zuordnung erfolgt unter Interfaces > Assignments, danach konfigurierst du jedes WAN-Interface mit der passenden IP-Konfiguration des Providers.

Achte darauf, dass beide Verbindungen einzeln getestet werden, bevor du mit der Gateway-Konfiguration weitermachst. So erkennst du früh, ob ein Anschluss oder ein Port bereits Probleme macht.

Praktisches Beispiel

Eine typische Konstellation sieht so aus:

WAN1 = DSL über Port igb0WAN2 = Kabel über Port igb1
LAN  = internes Netz über Port igb2

Wenn beide WANs einzeln ins Internet kommen, ist die Basis für Multi-WAN gelegt.

Gateways und Monitoring

Damit OPNsense weiß, welche Leitung aktiv ist, legst du für jedes WAN ein eigenes Gateway an. Das geschieht unter System > Gateways > Single.

Zusätzlich solltest du für jedes Gateway eine Monitoring-IP definieren, damit OPNsense den Status der Verbindung überwachen kann. Wichtig ist, dass du für jedes Gateway eine unterschiedliche Monitoring-IP verwendest.

Geeignete Werte sind zum Beispiel:

• ein öffentlicher DNS-Server,
• ein erreichbarer Zielhost des Providers,
• oder ein stabiler externer Host, der dauerhaft antwortet.

Gateway-Gruppe erstellen

Für Failover oder Load Balancing brauchst du eine Gateway-Gruppe. Diese legst du unter System > Gateways > Group an und ordnest deine Gateways mit Prioritäten zu.

Dabei gilt:

• Tier 1 ist das primäre Gateway.
• Tier 2 ist das sekundäre Gateway.
• Weitere Tiers sind für zusätzliche Leitungen möglich.

Aktiviere außerdem Allow default gateway switching unter System > Settings > General, damit OPNsense bei einem Ausfall automatisch auf das verfügbare Gateway wechselt.

Failover sauber absichern

Ein funktionierendes Failover hängt nicht nur von den Gateways ab, sondern auch von der richtigen Priorisierung. Das primäre Gateway sollte die höchste Priorität erhalten, das sekundäre eine niedrigere.

Wenn du möchtest, dass bestehende Verbindungen beim Wechsel sauber beendet und neu aufgebaut werden, solltest du die entsprechenden Failover- und Failback-Mechanismen aktiv halten.

Wichtig ist außerdem, dass die Gateway-Gruppe in den Firewallregeln verwendet wird. Nur dann wird der gesamte Traffic auch wirklich über die gewünschte Route geschickt.

Firewallregeln richtig setzen

Damit der Datenverkehr korrekt läuft, brauchst du passende Regeln auf dem LAN-Interface. Die Standardregel für den Internetzugang sollte den Verkehr von LAN nach WAN erlauben und auf die Gateway-Gruppe verweisen.

Für DNS-Anfragen ist eine zusätzliche Regel sinnvoll, damit die Firewall selbst weiterhin korrekt auflösen kann, auch wenn ein Gateway ausfällt. In vielen Umgebungen zeigt man diese Regel auf das Standard-Gateway oder auf die lokale Firewall-IP.

Ein einfaches Regelmuster sieht so aus:

LAN net -> any -> Gateway Group
Firewall DNS -> DNS-Server oder Firewall-IP -> Default Gateway

Tests nach der Einrichtung

Nach der Konfiguration solltest du das Setup gründlich prüfen. Trenne dazu die primäre Leitung und kontrolliere, ob der Traffic automatisch auf das sekundäre Gateway wechselt.

Anschließend aktivierst du die primäre Leitung wieder und beobachtest, ob OPNsense sauber zurückschaltet. Zusätzlich solltest du DNS-Auflösung und interne Dienste testen, damit nicht nur die Internetverbindung, sondern auch die Namensauflösung stabil bleibt.

Troubleshooting

Wenn der Failover nicht funktioniert, prüfe zuerst die Gateway-Monitoring-IPs. Ein falscher oder instabiler Monitoring-Host kann dazu führen, dass OPNsense ein Gateway fälschlich als ausgefallen bewertet.

Typische Fehler sind außerdem:

• Die Gateway-Gruppe wurde nicht in der Firewallregel eingetragen.
• Beide WANs wurden mit derselben Monitoring-IP überwacht.
• Die Default-Gateway-Umschaltung ist deaktiviert.
• DNS-Anfragen laufen über die falsche Route.

Wenn du trotz korrekter Konfiguration keinen sauberen Wechsel bekommst, lohnt sich ein Blick in die Gateway-Statusanzeige und in die Firewall-Logs.

Fazit

Mit OPNsense lässt sich eine redundante Internetverbindung mit Multi-WAN zuverlässig umsetzen, sodass dein Netzwerk auch beim Ausfall einer Leitung online bleibt. Gerade für Homeoffice, kleine Unternehmen und Umgebungen mit hoher Verfügbarkeit ist das eine praktische und flexible Lösung, weil sich Failover und optionales Load Balancing sinnvoll kombinieren lassen.

Wenn du Hilfe bei der Einrichtung brauchst oder deine OPNsense-Umgebung professionell absichern möchtest, findest du weitere Informationen zu OPNsense bei ADMIN INTELLIGENCE, in der offiziellen OPNsense-Dokumentation und im ADMIN INTELLIGENCE Blog. Für direkte Unterstützung kannst du auch jederzeit über Kontakt mit dem Team sprechen.

schnelle Problemlösung durch langjährige Erfahrung