Firewall Hochverfügbarkeit HA Pro - Device HA Pro Neuinstallation

Erstellt 7. September 2021 09:27 - Aktualisiert 25. Juni 2026 13:39

Serhii Boiarynov

Dieser Artikel bietet Anleitungen zur Neuinstallation von HA-Pro, wenn es nicht ordnungsgemäß funktioniert, häufig aufgrund falscher Firmware-Slots oder unterschiedlicher Firmware-Versionen. Er betont die Notwendigkeit, dass beide Geräte im Device HA Pro Setup dasselbe Modell sein müssen, unter demselben myZyxel.com-Konto registriert sind und synchronisierte Lizenzen besitzen. Der Artikel beschreibt Schritte für die Basiseinrichtung, das Bereitstellen des ersten und zweiten Geräts, das Überprüfen des Status und das Testen des Failovers. Außerdem wird die Bedeutung der Firmware-Konsistenz hervorgehoben und es werden Tipps zur Fehlerbehebung bei Synchronisationsproblemen gegeben. Für detaillierte Unterstützung bei der Einrichtung werden Nutzer an die professionellen Services von Zyxel verwiesen.

Basiseinrichtung - Device HA Pro.

Topologie (DeviceHA-Pro)

In Device HA Pro wird eine „Heartbeat-Verbindung“ hinzugefügt, um den Schnittstellenstatus zu überwachen und Einstellungen zu synchronisieren.

Das Verhalten von Device HA Pro umfasst eine Heartbeat-Verbindung zur Überwachung des Schnittstellenstatus des „aktiven“ Geräts. Wenn eine der überwachten Schnittstellen ausfällt oder nicht mehr funktioniert, wird der Status des „passiven“ Geräts auf „aktiv“ geändert. (Das bedeutet, dass nur der Status eines Geräts gleichzeitig „aktiv“ sein kann.)

Heartbeat-Verbindung
Der Heartbeat-Port ist ein neuer physischer Port am Gerät (ab Firmware fixiert als letzter Port des unterstützten HA-Pro Geräts). Nachdem Device HA Pro aktiviert wurde, senden die Geräte Multicast-Pakete (UDP 694), um den Status jedes Geräts zu prüfen. Wenn das passive Gerät ordnungsgemäß funktioniert, leuchtet die System-LED. Nur die LED des Heartbeat-Ports darf leuchten.

Wichtige Information: Beide Geräte müssen dasselbe Modell sein und im selben myZyxel.com-Konto registriert sein. Die Lizenzen müssen auf das aktive Gerät übertragen werden.Wenn die aktive Firewall ausfällt, werden alle Lizenzen automatisch auf die passive Firewall übertragen.

Was kann schiefgehen? Warum wird der korrekte Lizenzstatus vom myzyxel.com Server nicht angezeigt?
In den Device-HA Pro Einstellungen gibt es eine Funktion „Seriennummer des lizenzierten Geräts für Lizenzsynchronisierung“. Sie sollten die Seriennummer des Geräts mit den Lizenzen eingeben. So können alle Lizenzen auf das „aktive“ Gerät übertragen werden, und die Seriennummer dieses Geräts wird in das Feld eingetragen.

Hinweis: Die standardmäßig enthaltene einjährige Gold Security Pack Lizenz der ATP-Gateways ist nicht übertragbar. Für die Device HA Bereitstellung wenden Sie sich bitte an den Zyxel Support in Ihrem Land/Ihrer Region, um Unterstützung bei der Lizenzübertragung zu erhalten.

Die Basiseinrichtung finden Sie hier: Basiseinrichtung - Device HA Pro

Bevor Sie HA-Pro neu installieren

(1) Übertragen Sie alle Lizenzen auf das primäre Gerät. Dies verhindert, dass das System die Lizenzen bei jeder Aktion neu zählt.
(2) Aktivieren Sie die Funktion zur Verbindungsprüfung auf den überwachten Schnittstellen. Wenn eine Schnittstelle für eine bestimmte Zeit keine Antwort vom entfernten Server erhält, betrachtet das Gerät den Schnittstellenstatus als fehlerhaft. Dann ändert die Device HA Pro Funktion den Status der Schnittstelle.

Stellen Sie sicher, dass DeviceB (Passiv) auf die Werkseinstellungen zurückgesetzt ist.
Auf Device B muss die Partition der laufenden Firmware an der gleichen Position wie bei Device A sein.
Gehen Sie zu Konfiguration> Device HA>Device HA-Pro

Dann fortfahren mit der Konfiguration der HA-Einstellungen

Hinweis! Die Management-IP des Geräts und lokale Subnetze dürfen nicht identisch sein!

Erstes Gerät bereitstellen
- Konfigurieren Sie die HA Pro Einstellungen (Management-IP, Überwachungsschnittstelle, Lizenz)
- Online schalten als aktives Gerät
4. Zweites Gerät bereitstellen
- Die laufende Firmware-Version muss mit der des ersten Geräts übereinstimmen
- Die laufende Firmware-Partition muss an der gleichen Position wie beim ersten Gerät sein
Wenn die laufende Partition des ersten Geräts Partition 1 ist, muss die laufende Partition des zweiten Geräts ebenfalls Partition 1 sein.
- Konfigurieren Sie die HA-Pro Einstellungen in der GUI (nur 2 Klicks)
Zuerst auf dem passiven Gerät:

Dann auf dem aktiven Gerät:

Konsole an beiden Geräten verbinden
- Verbinden Sie die Heartbeat-Port-Verbindung und warten Sie auf die vollständige Synchronisation.
Hinweis: Die vollständige Konfigurationssynchronisation beim ersten Mal kann über 10 Minuten dauern.

Wie überprüft man, ob die vollständige Synchronisation ohne Probleme abgeschlossen ist,

In der Konsole des passiven Geräts sehen Sie den physischen Port (der PC ist verbunden)

1.^tes Down: nachdem Sie Device HA-Pro aktiviert haben

1.^tes Up: Start der Konfigurationssynchronisation vom aktiven Gerät

2.^tes Down: Synchronisation ist fast abgeschlossen

Dann können Sie zur Konsole des aktiven Geräts wechseln und CLI eingeben
```
# show device-ha2 passive device-status
```
Bis Sie die Informationen des passiven Geräts erhalten.

Dann zurück zur Konsole des passiven Geräts und CLI eingeben
```
# show device-ha2 sync summary
```
Es ist sehr wichtig, dass der Status von [ZySH Startup Configuration] erfolgreich ist und in der letzten Zeile der Status der Device HA Synchronisation ebenfalls erfolgreich angezeigt wird.

Vorsicht:

Bei einem Fehler trennen Sie bitte alle Verbindungen. Setzen Sie das Gerät auf Werkseinstellungen zurück und versuchen Sie es erneut.

Kopieren Sie nicht die Konfigurationsdatei vom ersten Gerät und laden Sie diese auf das zweite Gerät hoch, um es zu installieren.
- Verbinden Sie die restlichen Verbindungen
Failover testen

Sie können auf dem aktiven Gerät die Debug-CLI verwenden, um ein Schnittstellen-Ausfallereignis zu simulieren.

So wird das Failover auf das passive Gerät ausgelöst.
```
# debug device-ha2 send linkdown <Schnittstellenname>
```
Überprüfung des Synchronisationsstatus über die Weboberfläche:

KONFIGURATION > Device HA > Protokoll anzeigen – dort muss „Synchronize complete“ stehen.

Oder per CLI: Details zum Synchronisationsstatus auf dem Gerät prüfen
```
show device-ha2 sync summary
```
Es ist sehr wichtig, dass der letzte Eintrag zum Status der Device HA Synchronisation angibt, dass sie erfolgreich war.

Synchronisationsfehler

Hinweis: Es gibt 2 Methoden, um die vollständige Konfigurationssynchronisation zu erzwingen. Je nachdem, wo Sie den Befehl ausführen, variiert er.
Auf dem passiven Gerät: Router# device-ha2 sync_from_active
Auf dem aktiven Gerät: Router# device-ha2 sync_to_passive

Beim Firmware-Upgrade wird das passive Gerät zuerst die Firmware aktualisieren und dann neu starten.
Nach dem Neustart des passiven Geräts wird sofort eine vollständige Konfigurationssynchronisation durchgeführt.
Die Synchronisation schlägt fehl, da die Firmware des passiven Geräts von der des aktiven Geräts abweicht.
Dies ist normales Verhalten und die fehlgeschlagenen Synchronisationsprotokolle können in diesem Fall ignoriert werden.

Die Basiseinrichtung von HA Pro finden Sie hier: Device HA Pro Einrichtung