Im Sommer 2026 hat sich durch die große Hitze der eine oder andere DSLAM zeitweise für ein paar Stunden verabschiedet. Auch wenn die Telekom i.d.R. die Störungen innerhalb von 12 Stunden behoben hatte, war die Motivation gegeben ein Fallback zu realisieren.
Vorbereitung des RUTX50
Der RUTX50 unterstützt zwei für das Fallback relevante Modi.
Im NAT-Modus (Standard-Einstellung) läuft die OPNSense neben anderen Clients im internen Netz. Dieser Modus ist am einfachsten einzurichten und ermöglicht zudem, dass das interne Netz des RUTX50 auch weiterhin für andere Geräte genutzt werden kann. Allerdings kommt es hierbei zum „verpöhnten“ Doppel-NAT (1x auf der OPNSense und 1x auf dem RUTX50). Einige Anwendungsszenarien haben hiermit Probleme.
Bei IP-Passthrough, dem zweiten möglichen Verfahren, reicht der RUTX50 die Provider-IP direkt an die OPNSense weiter. Nur noch diese macht dabei NAT. Allerdings ist der Modus etwas anfälliger und die Nutzung des internen Netzes für andere Geräte entfällt.
Zur Vereinfachung erfolgt daher zunächst die Einrichtung im NAT-Modus. Dabei „versteckt“ die OPNsense ihre internen Netze hinter einer IP des internen RUTX50-Netzes und agiert aus Sicht des Mobilfunk-Routers als normaler Client. Erst in einem (optionalen) zweiten Schritt soll dann zu einem späteren Zeitpunkt auf IP-Passthrough gewechselt werden.
Vorbereitung der OPNsense
In einer Anleitung von Thomas Krenn wird ein ähnliches Szenario mittels PPP über ein LTE-Modem realisiert. Auch wenn die Anleitung als „veraltet“ gekennzeichnet ist, so liefert sie noch zahlreiche wertvolle Hinweise und kann somit als Grundlage dienen.
IPv6 erhöht die Komplexität und wird daher im ersten Pilotversuch deaktiviert:
Bisheriger Zugang mit IPv6:
IPv6 deaktiviert:
Zur Vollständigkeit sollte auch unter System –> Gateways –> Configuration das IPv6 GW noch deaktiviert werden:
Jetzt kann mit der eigentlichen Einrichtung begonnen werden.
Hinweis:
Wer seinen Mobilfunk-Router ggf. als Reise-Router einsetzt und mit einer entsprechenden Wireguard-Verbindung zur „heimischen OPNsense“ versehen hat, muss hier diese ggf. vorher noch zurückbauen.
In einem ersten Schritt wird nun auf der OPNSense zunächst ein neues Interface angelegt. Im vorliegenden Screenshot ist es ein VLAN-Interface, da der Router an einem geeigneten Standort positioniert ist. Sollte man später auf den IP-Passthrough-Mode des RUTX50 wechseln, sollte man sich bewusst sein, dass es sich um ein WAN-Netz handelt. Ein separater Switch bzw. der direkte Anschluss an der OPNSense ist unter Sicherheitsaspekten dringend zu empfehlen.
Nachdem der RUTX50 nun verbunden wurde, erhält die OPNSense automatisch eine IP (analog zu einem Endgerät am RUTX50):
Die weitere Einrichtung kann nun auf Basis der verlinkten Anleitung erfolgen.
Einrichtung Monitoring:
(Tipp: nach Deaktivierung von „Disable Gateway Monitoring“ erscheinen die benötigten Felder – zudem muss für das Monitoring eine Ziel-IP verwendet werden, die bisher nicht verwendet wird)
Nach kurzer Zeit sind dann beide Wege auf „grün“:
Anschließend können beide Wege in einer Gateway-Gruppe zusammengefasst werden:
Und je Gateway ein DNS-Server (unter System –> Settings –> General) definiert werden:
Damit der Traffic nun auch über die Gateway-Gruppe realisiert wird, müssen die entsprechenden Firewall-Regeln umgebaut werden.
Damit das Setup auch nur temporär eingesetzt werden kann, kann man diese einfach vor den bestehenden Regeln platzieren.
Zum Schluss noch eine NAT-Regel einrichten:
Erste Tests
- Zugriff auf Web-GUI des RUTX50 (inkl. vorgelagertem Test mittels ping)
- ping www.heise.de
- IP-Tool (https://www.heise.de/netze/meine-ip-adresse) öffnen
- Kabel vom DSL- oder FTTH-Modem ziehen und warten
- Reload IP-Tool (https://www.heise.de/netze/meine-ip-adresse)
- Vergleichen und freuen
- Kabel vom DSL- oder FTTH-Modem stecken und warten
- Werte in Dashboard und im IP-Tool vergleichen und freuen