飞塔防火墙双机-HA与会话同步.pptVIP

HA与会话同步

course301

FortiGate高可用性集群功能通过消除了单点故障来提高了整个系统的可用性。01负载均衡通过在集群成员之间分配网络流量和安全服务以提高整体的性能。02概念需求硬件保持一致软件版本保持一致FG50A不可以做HAFG300A以上可以实现全拓扑Active-Active负载均衡提高可靠性和性能同步配置,会话表,转发表Active-Passive热备份提高可靠性同步配置,会话表,转发表虚拟集群虚拟域的负载均衡运行模式Master基于以下因素进行选举:监控端口系统运行时间设备优先级序列号具有最少监控端口失败的设备将成为master具有比现主设备优先级高的设备在加入集群中时，将成为从设备.CLI选项将跳过这个选项,意味着具有高优先级的设备将成为主设备。Master选举同步配置(sync-config)会话表(session-pickup)转发信息库(FIB)内核使用FIB,(diagiproutelist)(NAT/Routemode)在设备之间FIB是同步的getrouterinforoutingtable在从设备上路由表是空的物理的以太网接口(hbdev)01TCP端口70202心跳线接口用于HA通信03Hello间隔200ms04HA地址05TCP端口23用于统计,配置和管理06占用相当大的带宽07交叉线连接08心跳HA配置集群的属性group-idgroup-namemodepassword心跳线接口hbdev心跳线的间隔和阈值hb-intervalhb-lost-thresholdHello/工作状态helo-holddownFGCP信息的传递和可信度EncryptionAuthenticationRouting表同步route-ttlroute-waitroute-holdHAConfigurationGratuitousARP’sarpsBounceLinksLink失败信号变化后重新协商overrideUnit优先级priority监控接口monitor虚拟集群vcluster2虚拟域成员vdom非中断的升级HA集群可以进行平滑的升级而服务不中断上传Firmware关掉负载均衡从设备升级新的主设备选举前主设备升级可能进行的新主设备选举开启负载均衡Master基于以下因素进行选举:监控端口系统运行时间设备优先级序列号具有最少监控端口失败的设备将成为master具有比现主设备优先级高的设备在加入集群中时，将成为从设备.CLI选项将跳过这个选项,意味着具有高优先级的设备将成为主设备。Master选举负载均衡(A-A)Active-Active(Mode)缺省状态下只有病毒扫描的会话将重新定向实现负载均衡。病毒扫描会话将不进行切换会话拾起将应用于非病毒扫描的会话的同步load-balance-all将重新非配所有的TCP会话A-ASchedulers0.NoneHubLeast-connectionRound-robin(default)Weightedround-robinRandomIPIP+portCLI:setschedule0-7负载均衡模式下AV会话过程——SynMasterInternalVMAC:09-01-01PMAC:0b-a1-c0MasterExternalVMAC:09-01-03PMAC:0b-a1-c2SlaveInternalPMAC:0b-a4-8cSlaveExternalPMAC:0b-a4-8e1.dstMAC09-01-01,srcMACX,TCPSYNdport802.dstMAC0b-a4-8c,srcMAC0b-a1-c0,TCPSYNdport803a.dstMACY,srcMAC0b-a4-8e,TCPSYNdport803b.dstMACX,srcMAC0b-a4-8c,TCPSYNACKsport80(fromHTTPproxy)13a23bXY负载均衡模式下AV会话——SYN,ACKACKMasterInternalVMAC:09-01-01PMAC:0b-a1-c0MasterExterna