Seit einer Woche habe ich einen Glasfaseranschluss von der Deutschen Glasfaser. Dazu wird es irgendwann einen eigenen Beitrag geben. Parallel dazu nutze ich weiterhin einen Kabelanschluss von Unitymedia/Vodafone. In diesem Beitrag möchte ich festhalten, wie mein Setup aktuell aussieht und was es zu beachten gibt.
Kurzversion: Ich setze ein USG (Unifi Security Gateway) als Router an. Am WAN-Port (eth0) hängt das NT (Network Termination) des Glasfaseranschlusses, an LAN 1 (eth1) mein Switch mit allen Geräten im Heimnetzwerk und an LAN 2 (eth2) die Fritzbox des Kabelanschlusses, die sich im Bridge-Modus befindet.
Unifi USG als solider und günstiger Dual-WAN-Router
Zwei Feature waren mir wichtig. Die Möglichkeit zwei Internetanschlüsse zu nutzen, damit ich mich nicht ärgern muss, wenn einer ausfällt, und VLANs, damit ich mehr und weniger vertrauenswürdige Geräte im Netzwerk voneinander trennen kann. Da ich bereits zwei APs (Access Points) und einen Switch von Unifi nutze, mit denen ich größtenteils zufrieden bin, habe ich mich dazu entschieden auch beim Router ein Unifi-Gerät zu nehmen. Ansonsten würde ich mir die TP-Link ER605 und ER7206 anschauen. Beide mit Omada-Controller. Oder etwas mit pfSense.
Das USG ist schon schon seit über sechs Jahren auf dem Markt. Inzwischen gibt es neuere und stärkere Modelle wie etwa das USG Pro oder Unifi Dreammachine. Aber diese sind wesentlich teurer ohne mir relevante Vorteile zu bieten. Ohne zusätzlichen Sicherheitsfeatures (IDS/IPS) schafft das USG Gigabit. Mit IDS/IPS nur noch 85 Mbit/s. Das USG Pro (ca. 250€) aber auch nur 250 Mbit/s. Das USG-XG würde Gigabit schaffen, aber auch 2k€ kosten. UDM (UniFi Dream Machine) schafft 850 Mbit/s, kostet um die 300€. UDM Pro 3,5 Gbit/s für 400€. Meine Überlegung war, dass ich IDS/IPS nicht zwingend brauche und die Unifi-Implementierung nicht transparent ist. Wäre das entscheidend, würde ich direkt Richtung pfSense schauen. Also habe ich mich für das USG um 100€ entschieden.
Eine Alternative von Ubiquiti wäre der baugleiche Edgerouter Lite, der jedoch nicht über den Unifi-Controller verwaltet werden kann.
Ersteinrichtung USG
Die Ersteinrichtung des USG war etwas umständlicher als ich es mir gewünscht habe, weil ich es in mein bestehendes System integriert habe. Zuerst einen Computer direkt mit dem USG verbinden und Grundeinstellungen vornehmen, anschließend an das Netzwerk anschließen. Gegebenenfalls Geräte neustarten oder IPs erneuern lassen. Wenn das USG im Controller adopted wurde, kann der Rest darüber erledigt werden.
Deutsche Glasfaser anschließen
Bei der Deutschen Glasfaser muss darf man keinen Router mitbestellen, sondern muss kundeneigenen Router als Option wählen. Ich hatte zuerst eine Fritzbox mitbestellt, weil ich dachte, ich könnte diese hinter dem USG betreiben, damit es sich um die Telefonie kümmert. Das funktioniert jedoch nicht. Deshalb ging die Fritzbox unausgepackt zurück und mein Anschluss wurde umgestellt. Anschließend konnte ich das USG via Ethernet an das NT anschließen. Für Telefonie nutze ich nun eine Gigaset Go Box 100.
Ich bin mir nicht mehr sicher, ob das erste WAN-Interface bereits eingestellt war. Viel anzupassen gibt es jedoch nicht. Das wichtigste ist IPv6 Connection auf DHCPv6 und Prefix Delegation Size von 56. (Bei mir gibt es noch Probleme mit IPv6, wo DG dran ist. Sollte sich hier noch etwas ändern, werde ich den Beitrag aktualisieren.) Update 2021-05-13: IPv6 funktioniert nun auch. Das Problem war das USG. Damit ich über die Deutsche Glasfaser eine IPv6 bekomme, musste ich IPv6 für Vodafone deaktivieren.
Vodafone anschließen
Ich habe einen Vodafone Business Anschluss. Wenn ich richtig recherchiert habe, gibt es nur bei diesen den Bridge-Modus in der Fritzbox, über den ein dort angeschlossener Router eine eigene öffentliche IPv4 bekommt. Da der zweite Anschluss lediglich als Failover dient, sollte egal sein. Ich weiß es jedoch nicht.
Unter Internet > Zugangsart > Bridge-Anschlüsse habe ich LAN 2 als Bridge geschalten und diesen vie Ethernetkabel an das USG gehängt.
Im USG ein weiteres Netzwerk hinzugefügt. Im alten Interface muss man es als Purpose WAN und Network Group WAN 2 definieren. Auch hier wieder DHCPv6 extra aktiviert, als Prefix Delegation Size allerdings 59 statt 56, weil es sonst nicht funktioniert. Je nachdem wie man seine Firewall konfiguriert hat, sollte man IPv6 beim failover deaktiviert lassen, damit man nicht unabsichtlich Löcher ins Sicherheitskonzept sticht.
Als Load Balancing habe ich Failover only gewählt.
Ports einstellen
Schließlich muss man noch im Unifi Controller unter Devices > USG > Ports einstellen, welcher Port wofür zuständig ist. WAN und LAN 1 sind normalerweise bereits korrekt gesetzt, muss nur noch LAN 2 / WAN 2 als WAN 2 eingestellt werden.
Wenn alles eingestellt ist, warten bis das Provisioning abgeschlossen ist. Dauert beim USG leider ein paar Minuten.
Funktionalität testen
Im Unifi Controller wieder bei Devices > USG unter Overview schauen, ob beide WAN Interfaces eine IP bekommen.
Außerdem kann man via SSH mit dem Befehl show load-balance watchdog schauen, ob das Load Balancing korrekt läuft. Bei eth0 und eth2 sollte „status: Running“ stehen. Wenn das passt, könnt ihr testweise die primäre Verbindung unterbrechen. Ich habe das durch einen Neustart des NT gemacht. Ethernetkabel entfernen geht aber auch. Nach ein paar Sekunden sollte das USG auf die failover-Verbindung wechseln. In meinem Fall hat das auch während einem Geschwindigkeitstest funktioniert. Der ist zwar kurzfristig eingebrochen, hat sich dann aber wieder erholt. Halt auf das Niveau der Backup-Verbindung.
Bei mir gab es erst ein Problem mit dem Kabelanschluss. Obwohl eine IP da war, war der Status „Waiting on recovery“. Dies ließ sich durch einen Neustart der Fritzbox beheben.
Im neuen Controller Interface habe ich es noch nicht gefunden, aber im alten Interface sieht man unter Alerts wenn gewechselt wurde. Im Screenshot sieht man, wie um 6:14 die primäre Verbindung (eth0) inaktiv wurde und sofort eth2 eingesprungen ist. Drei Minuten später um 6:17 war die primäre Verbindung wieder da (active) und die sekundäre versetze sich in Bereitschaft (failover).
Failover oder Weighted Load Balancing
Neben dem von mir gewählten Failover kann man die sekundäre Verbindung auch als Weighted Load Balancing einsetzen. Dann sollte ein Teil des Traffics (je nach Einstellung in %) über die sekundäre Verbindung laufen. In meinem Test hat das aber lediglich zu höheren Latenzen und keinem Geschwindigkeitsgewinn geführt. Ob das an der großen Unterschiede bei der Geschwindigkeit der Verbindungen lag oder es andere Gründe gab, weiß ich nicht. War mir allerdings auch nicht wichtig, weshalb ich mich nicht weiter damit beschäftigt habe. Angeblich gibt es auch Anwendungen, die es nicht mögen, wenn sich die Verbindung zwischendurch ändert.
Mir ist es wichtig, dass es so wenig Ausfälle wie möglich gibt und dafür passt Failover.
Schreibe einen Kommentar