Zyxel USG FLEX H Series [HA] - Vaihda laite tai ota HA uudelleen käyttöön (HA PRO).

Jos haluat korvata vaurioituneen tai toimimattoman Zyxel USG FLEX H-sarjan palomuurin korkean saatavuuden (HA) kokoonpanossa, on tärkeää noudattaa parhaita käytäntöjä, jotta minimoidaan käyttökatkokset ja palautetaan HA-toiminnot tehokkaasti. Vikaantuneen laitteen korvaaminen edellyttää lähinnä HA-asetusten uudelleenkonfigurointia tyhjästä, mutta tässä oppaassa esitellään keskeiset vaiheet, parhaat käytännöt ja tärkeät vivahteet, jotka auttavat virtaviivaistamaan prosessia ja välttämään yleisiä sudenkuoppia.

Tässä on vaiheittainen opas HA:n korvaamiseen ja uudelleenrakentamiseen tällaisessa skenaariossa:

• Sinulla on kaksi USG FLEX H-sarjan palomuuria (ensisijainen ja toissijainen).
• Viallinen "ensisijainen" laite korvataan uudella, toimivalla saman mallin laitteella.
• Toissijainen/varayksikkö on edelleen toimiva ja tällä hetkellä aktiivinen.

HA-topologia:

• USG FLEX 500H - Site5(FLEX500HP_1) - Ensisijainen (Pääsivusto, jossa kaikki sivustomme laitteet on fyysisesti rekisteröity, ja pääpalomuuri).
• USG FLEX 500H - Site5(FLEX500HP_2) - Toissijainen (Sivusto, jossa on fyysisesti rekisteröity vain varapalomuurilaite).

Tämä asetus voi olla hieman sekava, koska palomuurit on rekisteröity eri sivustoihin. Toissijaisen (varapalomuuri/passiivinen) sivuston palomuuri näkyy kuitenkin aina offline-tilassa, kun taas ensisijaisen (pää)sivuston palomuuri näkyy jatkuvasti online-tilassa riippumatta siitä, kumpi palomuuri käsittelee liikennettä milloinkin aktiivisesti.

Oletetaan, että pääsivustolle rekisteröity ensisijainen palomuuri on vikaantunut, ja varapalomuuri (toissijainen) käsittelee tällä hetkellä kaiken liikenteen. Tässä tapauksessa meidän on korvattava vikaantunut palomuuri, joka on rekisteröity pääsivustolle. Voimme kuitenkin myös siirtää passiivisen laitteemme pääsivustolle ja tehdä siitä pääsivuston, ja vasta sitten lisätä uuden laitteemme passiiviseksi laitteeksi.

Vaihe 1: Poista viallinen HA-vertaisverkkopalvelin.

• Irrota vioittunut laite fyysisesti ja poista se järjestelmästä.
• Siirry aktiivisessa (toimivassa) laitteessa osoitteeseen: Vasen valikko > Järjestelmä> Laite HA
  Jos HA on tällä hetkellä käytössä, mutta ei voi synkronoida rikkinäisen vertaislaitteen kanssa, valitse Disable HA.
• Tallenna ja ota muutokset käyttöön tämän vaiheen loppuun saattamiseksi.

Varmuuskopioi konfiguraatio aktiivisessa laitteessa (se ei ole pakollista, mutta se on paras käytäntö, jotta vältät asetusten menettämisen. Ihannetapauksessa sinulla tulisi aina olla kopio kokoonpanosta).

• Kirjaudu sisään aktiiviseen (toimivaan) laitteeseen.
• Siirry kohtaan Maintenance (Ylläpito) > File Manager (Tiedostonhallinta) > Configuration File (Määritystiedosto).
• Lataa aktiivisen laitteen viimeisin ja käynnistyskonfiguraatio (siltä varalta, että jokin menee pieleen).

Vaihe 2 -Valmista aktiivisen päälaitteen HA:ta varten.

Tässä esimerkissä etenemme määrittämällä nykyisen aktiivisen laitteen Site 1: lle Primary-laitteeksi. Korvaava (uusi) laite osoitetaan Site 2: een varalaitteeksi (Secondary).

Koska poistimme aktiivisen laitteen HA:n käytöstä edellisissä vaiheissa, laite näkyy nyt verkossa Sivustolla 2. Kuten alla olevassa kuvassa näkyy, osoitamme nyt tämän laitteen uudelleen Sivustolle 1 ja määrittelemme sen ensisijaiseksi laitteeksi.

Ensin meidän on poistettava vaurioitunut palomuurimme pääsivustosta.

Ensin meidän on poistettava vahingoittunut palomuurimme pääsivustosta.	Määritä aktiivinen laite pääsivustolle, jolloin siitä tulee pääsivusto.

Voit nyt tarkistaa, että aiemmin toissijainen laite on onnistuneesti lisätty pääsivustoon ja se on luonnollisesti ottanut ensisijaisen laitteen roolin.

Vaihe 3 - Passiivisen laitteen HA:n valmistelu

• Pura uusi/korvaava laite laatikosta ja kytke siihen virta, mutta älä liitä sitä vielä verkkoon.
• Varmista, että laiteohjelmistoversio vastaa aktiivilaitteen versiota (tarkista kohdasta Ylläpito > Laiteohjelmisto).
• Jos näin ei ole, päivitä laiteohjelmisto.

Tehdasasetusten palautus uudessa laitteessa (jos sitä on käytetty aiemmin).

• Pidä RESET-painiketta painettuna ~10 sekuntia, kunnes SYS LED vilkkuu keltaisena.
• Anna laitteen käynnistyä uudelleen kokonaan.

Uuden korvaavan laitteen liittäminen ja konfigurointi

• Liitä tietokone uuden palomuurin LAN-porttiin.
• Tarvitset myös uuden laitteen Internet-yhteyden, jotta voit rekisteröidä sen ja lisätä sen Nebul-sivustoon.
• Kirjaudu sisään käyttämällä oletus-IP:tä: 192.168.168.1 (admin / 1234).
• Alusta laite ja rekisteröi laite alustuksen aikana samaan organisaatioon.
• Lisää uusi laite toiseen sivustoon; uudesta laitteesta tulee varalaitteemme/toissijainen laitteemme.

Vaihe 4 - Laitteiden pariliitoksen muodostaminen uudelleen HA:ta varten

• Siirry ensisijaisessa laitteessa kohtaan > Järjestelmä > Laite HA > HA-konfiguraatio.
• Valitse Ota HA käyttöön ja aseta:

• Toisen laitteen kohdasta > System >Device HA > HA Configuration(Järjestelmä > Laite HA > HA-konfiguraatio).
• Napsauta Enable HA and set (passiivisessa laitteessa ei tarvitse tehdä mitään HA-asetuksia, aktivoi vain tämä toiminto):

Huomaa myös, että heartbeat-kaapeli on toistaiseksi irrotettava.

Vaihe 5 - Synkronointi ja testaus

• Kun HA on otettu käyttöön molemmilla puolilla:
  • Ensisijaisen laitteen pitäisi siirtää konfiguraationsa uuteen laitteeseen.
  • Odota, että synkronointi on valmis. Tämä voi kestää muutaman minuutin.
  • Tarkista HA-tila: Järjestelmä > Laite HA > HA-loki

Vaihe 6 - Vikaantumisen testausmenettely:

Simuloi ensisijaisen järjestelmän vikaantuminen
Sammuta ensisijainen järjestelmä väliaikaisesti tai irrota se WAN-verkosta vikaantumisskenaarion simuloimiseksi.

Varmista toissijaisen järjestelmän haltuunotto
Vahvista, että juuri nimetty toissijainen järjestelmä ottaa ensisijaisen järjestelmän roolin onnistuneesti haltuunsa ilman palvelukatkoksia.

Palauta ensisijainen järjestelmä ja vahvista HA-tila
Käynnistä aktiivinen laite uudelleen, jotta alkuperäinen ensisijainen laite saadaan jälleen aktiiviseksi. Tarkista, että korkean saatavuuden (HA) tila normalisoituu ja roolit palaavat.

Jos synkronointitila näyttää virheelliseltä, vaikka lokit ja asetukset osoittavat, että toiminta on asianmukaista, voit ratkaista ongelman Web-konsolin kautta suorittamalla seuraavan komennon:

usgflex500h> cmd device-ha force-sync full
OKusgflex500h>