OPNsense双栈网络下IPv6网关故障转移问题分析与解决方案

问题背景

在OPNsense企业版23.10至24.10_7版本中，当使用双栈网络（IPv4+IPv6）配置时，特别是当ISP仅提供IPv6前缀而没有静态IPv6接口地址的情况下，系统在检测到主连接故障时，IPv6网关状态未能正确更新为"defunct"，导致IPv4备用网关无法正常接管流量。

问题现象

用户报告当主DSL连接断开时：

1. IPv4网关状态正确变更为"defunct"
2. IPv6网关状态仍显示为"active"
3. 系统未能自动切换到备用IPv4网关
4. 需要手动干预（如删除IPv6默认路由或重启系统）才能使备用网关生效

技术分析

根本原因

1. IPv6网关状态检测机制：在双栈配置下，当物理连接断开时，IPv6网关的监控状态未能及时更新，导致系统认为IPv6连接仍然有效。

2. 优先级冲突：由于IPv6网关保持"active"状态且具有更高优先级，系统路由决策机制会优先选择这个实际上不可用的网关，而不是切换到备用IPv4网关。

3. PPPoE+DCHPv6特殊配置：当使用PPPoE连接IPv4，同时通过DHCPv6获取IPv6前缀（无静态IPv6地址）时，网关状态检测逻辑存在缺陷。

影响范围

此问题主要影响以下配置环境：

• 使用双栈网络（IPv4+IPv6）
• IPv6配置为DHCPv6模式
• ISP仅提供IPv6前缀，无静态IPv6地址
• 配置了备用网关用于故障转移

解决方案

临时解决方案

1. 完全禁用IPv6：

   • 进入接口配置
   • 将IPv6配置类型设为"None"
   • 此方法可确保IPv6网关被标记为"defunct"，使故障转移机制正常工作

2. 手动干预：

   • 通过SSH登录系统
   • 执行命令删除IPv6默认路由：route -6 delete -net default
   • 重新启用备用IPv4网关

永久解决方案

升级到OPNsense 24.10.1或更高版本，该版本包含以下改进：

1. 修正了网关监控状态在启动时的处理逻辑
2. 优化了路由设置过程中对网关监控状态的忽略机制
3. 改进了双栈网络下的故障检测准确性

配置建议

对于使用双栈网络并需要故障转移功能的用户，建议：

1. 监控设置：

   • 确保所有网关都启用了监控功能
   • 为每个网关设置适当的监控IP地址
   • 根据网络特性调整丢包和延迟阈值

2. 网关优先级：

   • 明确设置IPv4和IPv6网关的优先级
   • 考虑创建单独的IPv4和IPv6网关组

3. 测试验证：

   • 在实际部署前进行完整的故障转移测试
   • 验证主连接断开和恢复时的系统行为

总结

OPNsense在24.10.1版本中已解决双栈网络下的网关故障转移问题。对于企业用户而言，及时升级系统版本是确保网络高可用性的关键。同时，合理的网络配置和充分的测试验证也是保障故障转移功能正常工作的必要环节。

对于特殊网络环境（如仅提供IPv6前缀的ISP），建议在部署前充分了解系统对特定配置的支持情况，并在测试环境中验证所有关键功能，特别是故障转移机制的可靠性。