FortiGate HA功能说明-FGT、系统管理、配置说明.pdfVIP

更多资料 欢迎您的光临! FortiGate HA 功能说明 1． FortiGuard HA 功能概述 1．1 主用－备用模式 FortiGate 防火墙HA 的主用－备用(A-P)模式提供了一个双机热备份集群的机制来对网络连 接进行可用性保护，在HA 集群里面只有一台主用设备在处理所有的网络流量，其他的一台 或几台则处于备用状态FortiGate 不处理任何网络流量只是在实时的监控着主用FortiGate 是 否仍然正常工作。 备机主要的工作有：  实时和主用FortiGate 同步配置；  监控主用FortiGate 状态；  如果启用了会话备份功能（session pick-up ）的话，备用设备需要实时同步主用设备上 的会话以确保在主用设备出现问题是可以透明接替主用设备，所有主用设备上已经建立 的会话不需要重新建立，会话备份功能目前可以支持没有启用防火墙保护内容表的所有 TCP/UDP/ICMP/多播/广播数据流；  如果没有启用了会话备份功能（session pick-up ）的话，备用设备不会实时同步主用设 备上的会话，所有主用设备上已经建立的会话在发生HA 切换时需要重新建立； 1．2 主用－主用模式 A-P 模式部署的防火墙虽然有多台在网但实际上只有一台设备在工作其他所有的设备都在 实时的监控主用机发生故障才会有一台接替工作，这样带来的一个问题是设备资源利用率不 足。FortiGate 防火墙HA 功能同时提供了主用－主用（A-A ）模式，也就是在所有HA 集群 中的所有设备都同时工作以同时达到负载均衡和热备份的功能，在A-A 集群里面默认配置 下的主设备不会负载均衡没有启用保护内容表的流量给非主工作设备，它只会负载均衡所有 的启用了防火墙保护内容表的网络连接，处理时它会先接收下来所有的流量同时根据负载均 衡配置把相关连接动态分配给其他的非主工作设备处理。这样处理的原因是：通常启用了防 火墙保护内容表的网络连接才是CPU 和内存消耗主要来源，这样可以大大增加A-A 部分是 集群的高层安全处理能力。 实际上也可以开启A-A 集群负载所有TCP 网络流量的功能，需要进入命令行下面开启HA 的load-balance-all 功能就可以了。 FortiGate 防火墙HA 的A-A 集群不支持UDP/ICMP/ 多播/广播流量的负载均衡功能，也不支 持VoIP 、IM 、IPSec VPN 、HTTPS 和 SSL VPN 负载均衡功能，所有的以上流量都将只有 A-A 集群里面的主工作设备处理。 FortiGate 防火墙HA 的A-A 集群会话备份功能（session pick-up ）支持没有启用防火墙内容 保护表的 TCP 流量，并不提供基于防火墙内容保护表的流量的会话备份功能（session pick-up ），也不支持UDP/ICMP/ 多播/广播流量会话备份功能（session pick-up ）。 资料来源： 下图显示了一个典型的包含了2 台FGT3600 的HA 部署结构： 文章来源于 感谢阅读！讨论地址：/forum-10-1.html - 1 - 更多资料 欢迎您的光临! 2 ．关于设备故障切换和链路故障切换 2．1 什么是设备故障切换 在FortiGate 防火墙A-P 模式部署中，主用设备处理所有的网络流量，当主用设备出现故障 时，如断电，死机，重启等等，备用设备就会自动接替主用设备工作并成为新的主用设备。 2．2 什么是链路故障切换 意思就是配置的监控口 （monitor interface ）如果出现故障，HA 集群就会知道哪个设备上已 有网口故障，如果发生网口故障的是一个主用设备，那么HA 就会发生切换，备用设备就会 主动接替主用设备工作以确保网络的连通性。监控端口（monitor interface ）是FortiGate HA 配置的一部分，建议最好把需要监控的接口全部都配置上，这样其中任意接口出现故障都可 以触发HA 切换；可以把一些无关紧要的接口不配置监控功能，这样这些无关紧要的接口出 现故障时并不发生HA 切换。在所有的HA 集群中间，拥有最少的监控的故障接口的设备将 会成为主用设备，如果有些设备监控的故障接口数量一致，将按照通常的HA 主用设备选举 过程产品HA