Stabile Internetverbindungen sind die Grundlage jeder modernen IoT-Infrastruktur. Doch die Realität sieht oft anders aus: Bauarbeiten beschädigen Leitungen, Router fallen aus oder Provider kämpfen mit Störungen. Was im privaten Umfeld lediglich ärgerlich ist, kann in produktiven IoT-Umgebungen schnell zu Datenverlust, unterbrochenen Prozessen oder nicht erreichbaren Systemen führen.
Eine effektive Lösung besteht darin, kritische Systeme mit einer automatischen Fallback-Verbindung auszustatten. In diesem Beitrag zeigen wir, wie sich mit OpenWrt, einem Raspberry Pi und einem Huawei E3372 LTE-Stick ein zuverlässiges Multi-WAN-Failover aufbauen lässt. Fällt die Hauptleitung aus, übernimmt die Mobilfunkverbindung automatisch den gesamten Datenverkehr.
Architektur des Setups
Für die primäre Internetanbindung wird die kabelgebundene Verbindung des Raspberry Pi über eth0 genutzt. Als Backup dient ein Huawei E3372 LTE-Stick, der vom System als zweites Netzwerkinterface (eth1) erkannt wird.
Das Ziel ist einfach:
- Primäre Verbindung über DSL, Kabel oder Glasfaser
- Automatische Überwachung der Erreichbarkeit
- Sofortiger Wechsel auf LTE bei Leitungsstörungen
- Rückkehr zur Hauptverbindung, sobald diese wieder verfügbar ist
Vorbereitung des LTE-Sticks
Vor der Inbetriebnahme empfiehlt es sich, die SIM-Karte zunächst in einem Smartphone zu verwenden und die PIN-Abfrage dauerhaft zu deaktivieren. Dadurch kann sich der LTE-Stick nach dem Einstecken automatisch im Mobilfunknetz registrieren.
Die Status-LED des Huawei E3372 liefert eine schnelle Diagnose:
- Grün blinkend: Stick sucht nach einem Mobilfunknetz oder die SIM-Karte ist gesperrt
- Türkis (dauerhaft): Erfolgreiche Anmeldung im LTE-/4G-Netz
Sobald die türkisfarbene Anzeige erscheint, ist die Mobilfunkverbindung einsatzbereit.
Benötigte Pakete installieren
Aktuelle OpenWrt-Versionen verwenden den Paketmanager apk. Zunächst werden die erforderlichen USB-Treiber sowie die Multi-WAN-Komponenten installiert.
apk update
apk add kmod-usb-core kmod-usb2 usb-modeswitch kmod-usb-net-cdc-ether
apk add mwan3 luci-app-mwan3
reboot
Nach dem Neustart sollten sowohl das Ethernet-Interface als auch der LTE-Stick korrekt erkannt werden.
Netzwerkinterfaces konfigurieren
Damit OpenWrt die Priorität der Verbindungen kennt, werden unterschiedliche Metriken vergeben. Die Verbindung mit der niedrigeren Metrik wird bevorzugt verwendet.
# Primäre WAN-Verbindung
uci set network.wan=interface
uci set network.wan.device='eth0'
uci set network.wan.proto='dhcp'
uci set network.wan.metric='1'
# LTE-Fallback
uci set network.lte_wan=interface
uci set network.lte_wan.device='eth1'
uci set network.lte_wan.proto='dhcp'
uci set network.lte_wan.metric='2'
uci commit network
/etc/init.d/network restart
In dieser Konfiguration wird standardmäßig die kabelgebundene Leitung genutzt. LTE bleibt zunächst im Standby-Modus und wird nur im Fehlerfall aktiviert.
Firewall anpassen
Neue Netzwerkinterfaces müssen der WAN-Zone zugeordnet werden, damit sie vom Router verwendet werden können.
uci add_list firewall.@zone.network='lte_wan'
uci commit firewall
/etc/init.d/firewall restart
Damit erhält das LTE-Interface dieselben Sicherheitsregeln wie die bestehende WAN-Verbindung.
Automatisches Failover mit mwan3 einrichten
Das Herzstück der Lösung ist mwan3. Der Dienst überwacht die Erreichbarkeit der Internetverbindungen und entscheidet automatisch über die aktive Route.
Zunächst werden nicht benötigte Standardkonfigurationen entfernt:
uci delete mwan3.wan6
uci delete mwan3.wanb
uci delete mwan3.wanb6
Anschließend wird das Verbindungsmonitoring konfiguriert:
uci set mwan3.wan=interface
uci set mwan3.wan.enabled='1'
uci set mwan3.wan.track_method='ping'
uci add_list mwan3.wan.track_ip='8.8.8.8'
uci set mwan3.wan.reliability='1'
uci set mwan3.lte_wan=interface
uci set mwan3.lte_wan.enabled='1'
uci set mwan3.lte_wan.track_method='ping'
uci add_list mwan3.lte_wan.track_ip='192.168.8.1'
uci set mwan3.lte_wan.reliability='1'
Die Hauptverbindung wird über einen öffentlichen DNS-Server getestet. Das LTE-Interface überwacht lediglich den eigenen Router des Huawei-Sticks, um unnötigen Mobilfunkverkehr zu vermeiden.
Nun werden die Prioritäten definiert:
uci set mwan3.wan_member=member
uci set mwan3.wan_member.interface='wan'
uci set mwan3.wan_member.metric='1'
uci set mwan3.wan_member.weight='1'
uci set mwan3.lte_member=member
uci set mwan3.lte_member.interface='lte_wan'
uci set mwan3.lte_member.metric='2'
uci set mwan3.lte_member.weight='1'
Darauf folgt die eigentliche Failover-Policy:
uci set mwan3.failover=policy
uci set mwan3.failover.last_resort='unreachable'
uci add_list mwan3.failover.use_member='wan_member'
uci add_list mwan3.failover.use_member='lte_member'
uci set mwan3.default_rule_v4.policy_assigned='failover'
uci commit mwan3
/etc/init.d/mwan3 restart
Sobald die Konfiguration aktiv ist, übernimmt mwan3 die automatische Umschaltung zwischen beiden Verbindungen.
Praxistest: Ausfallsicherung unter realen Bedingungen
Nach erfolgreicher Einrichtung lässt sich der aktuelle Status mit folgendem Befehl prüfen:
mwan3 status
Solange die Hauptverbindung verfügbar ist, wird der gesamte Datenverkehr über wan geleitet.
Für den Funktionstest genügt es, die primäre Netzverbindung zu trennen, beispielsweise durch das Entfernen des LAN-Kabels oder das Abschalten des vorgeschalteten Routers.
Innerhalb weniger Sekunden erkennt mwan3 den Ausfall und schaltet den gesamten Datenverkehr automatisch auf lte_wan um. Bestehende Verbindungen bleiben dabei weitgehend stabil und angeschlossene IoT-Systeme behalten ihre Internetanbindung.
Sobald die Hauptleitung wieder erreichbar ist, erfolgt die Rückschaltung automatisch.
Vom IoT-Projekt zur hochverfügbaren Unternehmensinfrastruktur
Ein Raspberry Pi mit OpenWrt eignet sich hervorragend für Edge-Gateways, verteilte Sensornetzwerke, Smart-Building-Lösungen oder kleinere industrielle Anwendungen. Für geschäftskritische Umgebungen sind jedoch meist erweiterte Hochverfügbarkeitskonzepte erforderlich.
Hier kommen professionelle Firewall- und Routing-Plattformen wie OPNsense zum Einsatz.
Mit OPNsense lassen sich unter anderem folgende Szenarien realisieren:
Multi-Carrier-Konzepte
Mehrere Internetanbindungen, beispielsweise Glasfaser, Business-DSL und 5G, werden parallel genutzt. Dadurch erhöhen sich sowohl Verfügbarkeit als auch Gesamtdurchsatz.
Policy-Based Routing
Datenverkehr wird gezielt über unterschiedliche Leitungen verteilt. Sprachdienste und Videokonferenzen können beispielsweise über die stabilste Verbindung laufen, während Backups oder Synchronisationen andere Leitungen nutzen.
Redundante VPN-Infrastrukturen
Standortvernetzungen auf Basis von WireGuard oder IPsec bleiben selbst bei einem Provider-Ausfall verfügbar, da die Tunnel automatisch über alternative Verbindungen weitergeführt werden.
High Availability mit Firewall-Clustern
Durch den Betrieb redundanter OPNsense-Systeme lässt sich nicht nur der Ausfall von Internetleitungen, sondern auch der Ausfall kompletter Firewall-Hardware absichern.
Fazit
Ein automatisches LTE-Failover gehört zu den wirkungsvollsten Maßnahmen, um IoT-Systeme gegen Ausfälle der Internetanbindung zu schützen. Mit OpenWrt, einem Raspberry Pi und einem LTE-Stick lässt sich bereits mit überschaubarem Aufwand eine robuste Redundanzlösung aufbauen.
Für kleinere IoT-Installationen entsteht so eine kostengünstige und zuverlässige Backup-Infrastruktur. In größeren Unternehmensumgebungen bildet das gleiche Prinzip die Grundlage für hochverfügbare Netzwerk- und Sicherheitsarchitekturen mit mehreren Providern, redundanten Firewalls und ausfallsicheren VPN-Verbindungen.
“Ein automatisches LTE-Failover ist oft die einfachste und wirkungsvollste Maßnahme, um IoT-Infrastrukturen vor dem häufigsten Single Point of Failure zu schützen: dem Ausfall der Internetanbindung.”
