FortiGate_HA 高可用性 功能说明FortiGate_HA 高可用性 功能说明.pdf

上海逍创网络科技有限公司 FortiGate HA 功能说明 1．1 主用－备用模式 FortiGate 防火墙 HA 的主用－备用(A-P)模式提供了一个双机热备份集群的机制来对网络连接进行可用性 保护，在 HA 集群里面只有一台主用设备在处理所有的网络流量，其他的一台或几台则处于备用状态 FortiGate 不处理任何网络流量只是在实时的监控着主用 FortiGate 是否仍然正常工作。 备机主要的工作有：  实时和主用 FortiGate 同步配置；  监控主用 FortiGate 状态；  如果启用了会话备份功能（session pick-up）的话，备用设备需要实时同步主用设备上的会话以 确保在主用设备出现问题是可以透明接替主用设备，所有主用设备上已经建立的会话不需要重新 建立，会话备份功能目前可以支持没有启用防火墙保护内容表的所有 TCP/UDP/ICMP/多播/广播数 据流；  如果没有启用了会话备份功能（session pick-up）的话，备用设备不会实时同步主用设备上的会 话，所有主用设备上已经建立的会话在发生 HA 切换时需要重新建立； 1．2 主用－主用模式 A-P 模式部署的防火墙虽然有多台在网但实际上只有一台设备在工作其他所有的设备都在实时的监控主用 机发生故障才会有一台接替工作，这样带来的一个问题是设备资源利用率不足。FortiGate 防火墙 HA 功能 同时提供了主用－主用（A-A）模式，也就是在所有HA 集群中的所有设备都同时工作以同时达到负载均衡 和热备份的功能，在 A-A 集群里面默认配置下的主设备不会负载均衡没有启用保护内容表的流量给非主工 作设备，它只会负载均衡所有的启用了防火墙保护内容表的网络连接，处理时它会先接收下来所有的流量 同时根据负载均衡配置把相关连接动态分配给其他的非主工作设备处理。这样处理的原因是：通常启用了 防火墙保护内容表的网络连接才是 CPU 和内存消耗主要来源，这样可以大大增加 A-A 部分是集群的高层安 全处理能力。 实际上也可以开启 A-A 集群负载所有 TCP 网络流量的功能，需要进入命令行下面开启 HA 的 load-balance-all 功能就可以了。 FortiGate 防火墙 HA 的 A-A 集群不支持 UDP/ICMP/多播/广播流量的负载均衡功能，也不支持 VoIP、IM、 IPSec VPN、HTTPS 和 SSL VPN 负载均衡功能，所有的以上流量都将只有 A-A 集群里面的主工作设备处理。 上海逍创网络科技有限公司 FortiGate 防火墙 HA 的 A-A 集群会话备份功能（session pick-up）支持没有启用防火墙内容保护表的 TCP 流量，并不提供基于防火墙内容保护表的流量的会话备份功能（session pick-up），也不支持UDP/ICMP/ 多播/广播流量会话备份功能（session pick-up）。 下图显示了一个典型的包含了 2 台 FGT3600 的 HA 部署结构： (点击放大) 2．关于设备故障切换和链路故障切换 2．1 什么是设备故障切换 在 FortiGate 防火墙 A-P 模式部署中，主用设备处理所有的网络流量，当主用设备出现故障时，如断电， 死机，重启等等，备用设备就会自动接替主用设备工作并成为新的主用设备。 2．2 什么是链路故障切换 意思就是配置的监控口（monitor interface）如果出现故障，HA 集群就会知道哪个设备上已有网口故障， 如果发生网口故障的是一个主用设备，那么 HA 就会发生切换，备用设备就会主动接替主用设备工作以确保 网络的连通性。监控端口（monitor interface）是FortiGate HA 配置的一部分，建议最好把需要监控的 接口全部都配置上，这样其中任意接口出现故障都可以触发 HA 切换；可以把一些无关紧要的接口不配置监 控功能，这样这些无关紧要的接口出现故障时并不发生 HA 切换。在所有的 HA 集群中间，拥有最少的监控 的故障接口的设备将会成为主用设备，如果有些设备监控的故障接口数量一致，将按照通常的 HA 主用设备 上海逍创网络科技有限公司 选举过程产品 HA 主用设备。备用设备监控接口发生故障时并不发生 HA 切换而仅仅是把接口故障信息共享 同步到所有的 HA 集群设备里面去，以备发生其他故障时使用。 3