hermes-erkenntnisse/infrastructure/2026-07-23-dhcp-postmortem-opnsense.md

OPNsense DHCP-Konsolidierung + Post-Mortem (2026-07-23)

Kurzfassung — Volltext-Post-Mortem ggf. bei Task #67/#73, hier nur die konsolidierte Kurzversion für den Doku-Dreiklang.

Was passiert war

• hyperv4-Host-Crash → nach Reboot kam nichts automatisch wieder hoch.
• Kea-DHCPv4 war tot: HA war aktiviert, aber ha_peers/this_server_name waren leer → Kea crasht beim Start.
• Ergebnis: ganzer VM-Pool 2 Tage ohne DHCP, unbemerkt weil der Alert-Token tot war.

Fix

• Konsolidiert auf ISC-dhcpd (9 aktive Leases) statt Kea (0 aktive Leases).
• XML-Patch + Config-Restore über die OPNsense-API, Reboot-Checkbox bewusst weggelassen (kein Firewall-Reboot).
• Jetzt nur EIN DHCP-Server mit mehreren Ranges: 10.x-Netze + VM-Pool 192.172.0.50–79 (alle 30 Reservierungen erhalten).

Prävention

• Nur ein DHCP-Backend pro OPNsense.
• Kea-HA nie halb-konfiguriert.
• Watchdog: DHCP-Leases + Service-Status + data.ki1.it-Erreichbarkeit.
• AIO-Autostart geprüft.

Risiko

• ISC-dhcpd ist in OPNsense 25.x das ältere Backend — bei künftigem Upgrade prüfen/ggf. auf repariertes Kea zurück.

Bezug

• Zentrale Anleitung: docs.consoro.it/anleitung.md → REZEPT AI8.