{"id":611,"date":"2016-06-16T17:28:58","date_gmt":"2016-06-16T15:28:58","guid":{"rendered":"https:\/\/www.boc.de\/watchguard-info-portal\/?p=611"},"modified":"2018-08-06T15:43:42","modified_gmt":"2018-08-06T13:43:42","slug":"multi-wan-konflikt-mit-zwei-redundanten-cisco-hsrp-router-paaren","status":"publish","type":"post","link":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/2016\/06\/multi-wan-konflikt-mit-zwei-redundanten-cisco-hsrp-router-paaren\/","title":{"rendered":"Multi-WAN Konflikt mit zwei redundanten Cisco HSRP Router-Paaren"},"content":{"rendered":"

Das Debugging einer problembehafteten HA Umgebung aus zwei X750e mit Fireware XTM 11.3.2 (ich betrachte diese Version derzeit f\u00fcr Cluster aus X Core \/ Peak e-series am stabilsten) hat heute einen netten Sonderfall aufgezeigt, der f\u00fcr die St\u00f6rungen sicher mitverantwortlich war:
\nDer Kunde betreibt schon seit vielen Jahren ein WatchGuard VPN mit ca. 40 Au\u00dfenstellen. Wie so oft hat in der Vergangenheit daf\u00fcr eine einzelneCompany Connect Anbindung der Telekom mit 2 Mbit\/s gereicht. Diese Leitung war mit redundanten Cisco-Routern und zudem einerZweiwegef\u00fchrung ausgestattet. Der Kunde hatte nun bei der Telekom eine weitere Company Connect Anbindung beauftragt, mit 34 Mbit\/s und ebenfalls redundanten Cisco-Routern und Zweiwegef\u00fchrung. Auf der WatchGuard waren diese beiden Anbindungen als Multi-WAN konfiguriert – im Failover-Modus.
\nBei einem Routine-Check des „Status Report“ im Firebox System Manager ist mir in der ARP Table der WatchGuard aufgefallen, dass dort beide vorgelagerten Router-Paare (2 Mbit an eth0 und 34 Mbit an eth1) mit der gleichen Hardware MAC Adresse 00:00:0C:07:AC:01 aufgef\u00fchrt waren.<\/p>\n

\"\"<\/a><\/p>\n

Recherche hat ergeben, dass dies eine virtuelle MAC-Adresse ist, die vonredundanten Cisco-Routern im HSRP Modus verwendet wird – und zwar dann, wenn auf den Routern die HSRP Group ID = 1 eingestellt ist. Offenbar hat der ISP also beide Router-Paare (da verschiedene Einzelauftr\u00e4ge) per Default mit der gleichen HSRP Group versehen… Das wird auch erst dann zum Problem, wenn beide Leitungen wie im vorliegenden Fall an das gleiche System angeschlossen werden. Die Auswirkungen kann man sich ausmalen.
\nEin Support Call bei der Telekom hat dazu gef\u00fchrt, dass ein Router-Paar auf dieHSRP Group ID = 2 eingestellt wurde, wodurch sich die virtuelle MAC-Adresse auf 00:00:0C:07:AC:02 ge\u00e4ndert hat und nunmehr aus Sicht der WatchGuard die Interfaces sauber konfiguriert sind:<\/p>\n

\"\"<\/a><\/p>\n