fortigateha功能说明Word格式文档下载.docx
《fortigateha功能说明Word格式文档下载.docx》由会员分享，可在线阅读，更多相关《fortigateha功能说明Word格式文档下载.docx（8页珍藏版）》请在冰豆网上搜索。
A-P模式部署的防火墙虽然有多台在网但实际上只有一台设备在工作其他所有的设备都在实时的监控主用机发生故障才会有一台接替工作，这样带来的一个问题是设备资源利用率不足。
FortiGate防火墙HA功能同时提供了主用－主用（A-A）模式，也就是在所有HA集群中的所有设备都同时工作以同时达到负载均衡和热备份的功能，在A-A集群里面默认配置下的主设备不会负载均衡没有启用保护内容表的流量给非主工作设备，它只会负载均衡所有的启用了防火墙保护内容表的网络连接，处理时它会先接收下来所有的流量同时根据负载均衡配置把相关连接动态分配给其他的非主工作设备处理。
这样处理的原因是：
通常启用了防火墙保护内容表的网络连接才是CPU和内存消耗主要来源，这样可以大大增加A-A部分是集群的高层安全处理能力。
实际上也可以开启A-A集群负载所有TCP网络流量的功能，需要进入命令行下面开启HA的load-balance-all功能就可以了。
FortiGate防火墙HA的A-A集群不支持UDP/ICMP/多播/广播流量的负载均衡功能，也不支持VoIP、IM、IPSecVPN、HTTPS和SSLVPN负载均衡功能，所有的以上流量都将只有A-A集群里面的主工作设备处理。
FortiGate防火墙HA的A-A集群会话备份功能（sessionpick-up）支持没有启用防火墙内容保护表的TCP流量，并不提供基于防火墙内容保护表的流量的会话备份功能（sessionpick-up），也不支持UDP/ICMP/多播/广播流量会话备份功能（sessionpick-up）。
下图显示了一个典型的包含了2台FGT3600的HA部署结构：
（点击放大）
2．关于设备故障切换和链路故障切换
2．1什么是设备故障切换
在FortiGate防火墙A-P模式部署中，主用设备处理所有的网络流量，当主用设备出现故障时，如断电，死机，重启等等，备用设备就会自动接替主用设备工作并成为新的主用设备。
2．2什么是链路故障切换
意思就是配置的监控口（monitorinterface）如果出现故障，HA集群就会知道哪个设备上已有网口故障，如果发生网口故障的是一个主用设备，那么HA就会发生切换，备用设备就会主动接替主用设备工作以确保网络的连通性。
监控端口（monitorinterface）是FortiGateHA配置的一部分，建议最好把需要监控的接口全部都配置上，这样其中任意接口出现故障都可以触发HA切换；
可以把一些无关紧要的接口不配置监控功能，这样这些无关紧要的接口出现故障时并不发生HA切换。
在所有的HA集群中间，拥有最少的监控的故障接口的设备将会成为主用设备，如果有些设备监控的故障接口数量一致，将按照通常的HA主用设备选举过程产品HA主用设备。
备用设备监控接口发生故障时并不发生HA切换而仅仅是把接口故障信息共享同步到所有的HA集群设备里面去，以备发生其他故障时使用。
3．HA集群的Fireware升级
HA集群Web界面里面或这CLI界面下的升级方法和单机的升级方法是一样的，在升级一个HA集群时，升级程序会把所有的集群里面的FortiGate都升级起来包括A-A或A-P模式里面的主用和备用设备，默认配置下HA集群的升级是一个完全无中断的升级过程，这种情况下，升级程序会先把HA集群里面的备用设备升级，等所有的备用设备一台一台全部升级并且重启完成后重新加入到HA集群的时候才升级主用设备，这个时候备用设备就可以接替主用设备工作从而不会导致fireware升级过程中中断网络。
如果有必要，你也可以手工的停止HA集群默认的无中断升级功能，这样，升级程序会同时升级所有的HA集群设备从而产生网络中断。
注意：
使用串口用TFTP服务器烧FortiGate版本的时候不在上述升级范围内。
4．HA配置
4．1HA的运行模式
包括单机模式，主用-备用模式（A-P）和主用-主用模式（A-A）。
4．2设备优先级
这是一个可选参数，所有的HA集群里面的设备都可以配置一个不同优先级，在HA协商过程中用来确定谁是主谁是备。
4．3HA组名
用来区分不同的HA集群，最长支持7个字符。
4．4HA同步密码
选配参数，用来HA设备间进行认证使用。
4．5HA会话备份功能（sessionpick-up）
启用HA会话备份功能（sessionpick-up）之后，当主用设备出现故障时，备用设备接替工作，所有的非启用保护内容表的连接可以被备用设备接着处理，不重新开始。
4．6HA接口监控功能
用来监控FortiGate接口是否正常工作从而触发HA集群切换的功能。
4．7HA心跳口及优先级
HA集群内的各个设备间同步配置、会话信息等等信息和设备监控功能都需要通过HA心跳口进行，在FortiGateHA集群里面可以配置多个心跳口并可以设置不同的优先级，高优先级心跳口优先使用，当高优先级心跳口故障时其他的心跳口仍然可以保证设备间心跳功能。
另外，FortiGate心跳协议也支持复用在普通的通讯口上，也就是说这个口不光有用户数据传送也同时传送HA心跳报文。
由于心跳功能对HA集群极其重要（心跳口故障将导致HA集群无法正常工作），所以建议部署HA集群时至少有一组独立的心跳口，另外加一组复用的心跳口。
5，HA集群的主用设备选举过程
5．1抢占（override）功能禁止时
HA选举过程如下图显示：
（点击放大）对于大多数HA集群的默认配置来说，设备序列号最大的将会被选举成为HA集群的主用设备。
这里默认配置指的是启用了HA模式到A-A或A-P，并且配置了HA组名和认证密码，这样默认配置下面，之所以序列号最高的会被选举成为主用设备，是因为集群里面的所有设备优先级是一样的，工作时间通常也是相同的，而且这时候也没有启用接口监控功能。
5．2抢占（override）功能启用的时候
（点击放大）和抢占（override）功能禁止时功能类似，区别就是抢占功能启用的时候，在监控结构全部正常或工作数量相等的时候，设备优先级最高的将始终是主用设备。
举例说明，主备用设备配置了3个监控接口，这个时候主用电源故障关机了，备用设备就会接替主用设备处理用户数据，主用设备返厂维修电源后重新加入到集群里面来，这个时候它将重新成为主用设备而不管备用设备是否故障。
override功能禁止时主用重新回来是不会发生HA切换的。
6．虚拟集群
如果防火墙启用了虚拟防火墙功能（VirtualDomain），那么防火墙将会开启虚拟集群功能。
虚拟集群功能是对防火墙HA功能的一个扩展，它可以在两个虚拟集群中配置集群的主用－备用功能，也就是说你相当于可以配置2个虚拟集群的负载均衡功能，即集群1中的虚拟防火墙拥有一个优先级，假设它工作在主用模式，那么可以同时配置其他的虚拟防火墙添加到虚拟集群2中，它可以是备用模式。
HA里面的另外一台设备则正好相反的配置，即虚拟集群1是备用模式，虚拟集群2是主用模式。
这样，实际上实现了基于虚拟集群的负载均衡功能了。
（点击放大）上图显示了一台防火墙配置了虚拟防火墙之后的HA部分的配置实例，其中配置了虚拟集群1包括虚拟防火墙root，虚拟集群2包括虚拟防火墙test；
这台设备上虚拟集群1和虚拟集群1的优先级都是128。
可以独立配置2个虚拟集群的监控接口和心跳接口。
7．HA功能的其他注意事项
7．1HA会话备份功能（sessionpick-up）
此功能用户HA集群中设备间的会话同步，只支持A-A和A-P里面的没有启用防火墙保护内容表的策略会话同步，，同样不支持IPSecVPN、SSLVPN、PPTP和L2TP等会话备份功能。
7．2HA虚拟的MAC地址
启用HA功能之后防火墙会在所有的接口上启用HA专用的虚拟MAC地址，MAC地址使用规律如下：
00-09-0f-&
lt;
16进制组号&
gt;
-&
虚拟集群号&
接口编号&
。
注意，在同一个广播域中如果有多个HA组存在，请配置多个不通的HA组号（group-id）以确保不同的集群虚拟MAC地址不会冲突。
7．3如下部分配置不会在HA集群设备间同步
&
#183;
system.interface.secondary-ip.ha-priority
system.interface.macaddr
system.accprofile.menu-file
system.fortiguard.avquery-expiration
system.fortiguard.antispam-expiration
system.fortiguard.webfilter-license
system.fortiguard.webfilter-expiration
system.ha.override
system.ha.priority
system.global.hostname
gui.console
gui.topology
7．4所有的HA集群设备间会同步的配置文件有：
Allfilesunder/data/config/
CC_MAIN_FILE:
/etc/cc_main
CC_SIG:
/etc/cc_sig.dat
VIR_DB:
/etc/vir
VIR_EXTDB:
/data/virextor/data2/virext,dependingonthereissharedpartition
FCNI:
/etc/fcni.dat
FDNI:
/etc/fdnservers.dat
FSCI:
/tmp/sci.datonFGT60B/FWF60B,/etc/sci.datonallotherplatforms
FSAE:
/etc/fsae_adgrp.cache
IDSDB:
/etc/ids.rules
IDS_USER_RULES:
/etc/idsuser.rules
NIDS_LIB:
/data/lib/libips.so
CERT_CONF:
/etc/cert/cert.conf
IM_AIM_USR:
/data/cmdb/
升级会员 