Configurer la haute disponibilité (HA) sous pfSense 2.6

8. Modifier la configuration du serveur DHCP (pour synchroniser les baux DHCP)

Pour que le serveur DHCP de vos 2 machines pfSense connaisse vos machines actuelles et ne distribue pas la même adresse IP à 2 machines du réseau LAN, il est nécessaire de modifier légèrement la configuration du serveur DHCP sur la 1ère machine pfSense (maitre).
Pour cela, allez dans : Services -> DHCP Server.

Allez dans l'onglet "LAN" du serveur DHCP.

Dans la section "Servers", indiquez l'adresse IP virtuelle (VIP) CARP pour le réseau LAN en tant que serveur DNS préféré.
Ainsi, les machines du réseau LAN communiqueront toujours avec la machine pfSense agissant en tant que maitre pour le moment.

Dans la section "Other Options" :

• Gateway : indiquez à nouveau l'adresse IP virtuelle (VIP) CARP en tant que passerelle par défaut pour les machines du réseau LAN.
  Ainsi, si une des machines pfSense tombe en panne à un moment, vos machines du réseau LAN continueront d'accéder à Internet et au réseau sans aucun problème de façon transparente.
• Failover peer IP : indiquez l'adresse IP définie sur la 2ème machine pfSense pour l'interface LAN.

Important : lorsque pfSense synchronisera les paramètres du serveur DHCP de votre 1ère machine pfSense vers votre 2ème machine pfSense, le champ "Failover peer IP" sera mis à jour correctement pour pointer vers la 1ère machine pfSense.

En bas de la page, cliquez sur Save.

La configuration de votre serveur DHCP a bien été modifiée.

Pour information, si vous regardez la configuration DHCP de votre 2ème machine pfSense, vous verrez que les champs modifiés ont également été modifiés sur celle-ci.
De plus, vous remarquerez que le champ "Failover peer IP" de cette 2ème machine pfSense pointe dans ce cas-ci sur la 1ère machine pfSense.

Tutoriel basé sur l'exemple officiel de Netgate : High Availability Configuration Example | pfSense Documentation.

9. Vérifier et tester le basculement sous pfSense

Maintenant que vos 2 machines pfSense sont correctement configurées pour assurer la haute disponibilité de ses services, voici ce que vous pouvez vérifier sous pfSense.

9.1. Vérifier le statut de CARP

Pour commencer, vérifiez le statut de CARP en allant dans : Status -> CARP (failover).

Sur votre 1ère machine pfSense, vous verrez que cette machine pfSense agit en tant que "maitre" (MASTER) pour vos 2 adresses IP virtuelles (VIP) CARP.

• CARP Interface : [nom de l'interface pfSense concernée]@[identifiant de groupe (VHID) de l'IP virtuelle].
  Dans notre cas : WAN@10 et LAN@1.
• Virtual IP : l'adresse IPv4 virtuelle définie précédemment pour chaque interface (WAN / LAN).
• Statut : le statut de cette machine pfSense pour cette adresse IP virtuelle (VIP) CARP.
  La 1ère machine pfSense agit en tant que maitre (MASTER) pour ces adresses IP virtuelles (VIP) CARP.

Notes :

• si le statut "DISABLED" apparait, cliquez sur le bouton "Enable CARP", puis rafraichissez la page.
• si le statut "INIT" apparait, alors il y a un problème de connexion réseau entre les interfaces concernées.
  Par exemple, un câble réseau débranché.

Sur votre 2ème machine pfSense, vous verrez les mêmes informations.
Mais, cette machine pfSense agit en tant qu'esclave pour ces adresses IP virtuelles (VIP) CARP.

9.2. Vérifier la synchronisation de l'état

Pour vérifier le statut de la synchronisation de l'état, allez à nouveau dans : Status -> CARP.

Dans la section "pfSync Nodes" de cette page, vous verrez une liste d'identifiants apparaitre.
Si la synchronisation est bonne, les valeurs seront les mêmes (ou quasiment) sur les 2 machines pfSense.