Zyxel USG FLEX H Series [HA] - Remplacer le dispositif ou redéployer HA (HA PRO)

Pour remplacer un pare-feu Zyxel USG FLEX H-Series endommagé ou non fonctionnel dans une configuration de haute disponibilité (HA), il est essentiel de suivre les meilleures pratiques afin de minimiser les temps d'arrêt et de restaurer efficacement la fonctionnalité HA. Alors que le remplacement d'un dispositif défaillant implique essentiellement la reconfiguration de la configuration HA à partir de zéro, ce guide présente les étapes clés, les meilleures pratiques et les nuances importantes pour aider à rationaliser le processus et éviter les pièges les plus courants.

Voici un guide étape par étape pour remplacer et reconstruire le système HA dans un tel scénario :

• Vous disposez de deux pare-feu USG FLEX série H (primaire et secondaire).
• Le dispositif " primaire " défectueux sera remplacé par une nouvelle unité fonctionnelle du même modèle.
• L'unité secondaire/de secours fonctionne toujours et est actuellement active.

Topologie HA :

• USG FLEX 500H - Site5(FLEX500HP_1) - Primaire (Le site principal où tous les dispositifs de notre site sont physiquement enregistrés et le pare-feu principal)
• USG FLEX 500H - Site5(FLEX500HP_2) - Secondaire (site où seul un pare-feu de secours est physiquement enregistré)

Cette configuration peut être quelque peu déroutante, car les pare-feux sont enregistrés sur des sites différents. Cependant, le pare-feu du site secondaire (de secours/passif) apparaîtra toujours hors ligne, tandis que le pare-feu du site primaire (principal) apparaîtra toujours en ligne, quel que soit le pare-feu qui gère activement le trafic à un moment donné.

Supposons que le pare-feu primaire enregistré sur le site principal soit tombé en panne et que le pare-feu de secours (secondaire) gère actuellement tout le trafic. Dans ce cas, nous devons remplacer le pare-feu défaillant enregistré sur le site principal. Mais nous pouvons également déplacer notre dispositif passif vers le site principal et en faire le site principal, puis ajouter notre nouveau dispositif en tant que dispositif passif.

Étape 1 : Retirer le pair HA défectueux

• Débranchez physiquement le périphérique endommagé et retirez-le du système.
• Sur le dispositif actif (qui fonctionne), naviguez vers : Menu de gauche > Système > Dispositif HA
  Si HA est actuellement activé mais ne peut pas se synchroniser avec l'homologue défectueux, cliquez sur Désactiver HA.
• Enregistrez et appliquez les modifications pour terminer cette étape.

Sauvegarder la configuration sur l'appareil actif (ce n'est pas obligatoire, mais c'est la meilleure pratique pour éviter de perdre vos paramètres. Idéalement, vous devriez toujours avoir une copie de la configuration).

• Connectez-vous à l'appareil actif (qui fonctionne).
• Allez dans Maintenance > Gestionnaire de fichiers > Fichier de configuration.
• Téléchargez une dernière configuration et une configuration de démarrage de l'appareil actif (en cas de problème).

Étape 2 - Préparer l'HA de l'appareil maître actif

Dans cet exemple, nous allons assigner l'appareil actuellement actif au site 1 en tant qu'appareil primaire. Le dispositif de remplacement (nouveau) sera assigné au site 2 en tant que dispositif de sauvegarde (secondaire).

Puisque nous avons désactivé l'HA sur le dispositif actif dans les étapes précédentes, le dispositif apparaît maintenant comme étant en ligne sur le site 2. Comme le montre l'image ci-dessous, nous allons maintenant réaffecter ce périphérique au site 1 et le désigner comme périphérique principal.

Tout d'abord, nous devons retirer notre pare-feu endommagé du site principal.

Tout d'abord, nous devons retirer notre pare-feu endommagé du site principal.	Attribuez votre dispositif actif au site principal, ce qui en fait le dispositif principal.

Vous pouvez maintenant vérifier que le dispositif précédemment secondaire a été ajouté avec succès au site principal et qu'il a naturellement pris le rôle du dispositif principal.

Étape 3 - Préparation de l'AH du dispositif passif

• Déballez et mettez sous tension le nouvel appareil ou l'appareil de remplacement, mais ne le connectez pas encore au réseau.
• Assurez-vous que la version du micrologiciel correspond à celle de l'appareil actif (vérifiez sous Maintenance > Micrologiciel).
• Si ce n'est pas le cas, mettez à jour le micrologiciel.

Réinitialisation d'usine du nouvel appareil (s'il a déjà été utilisé)

• Maintenez le bouton RESET pendant ~10 secondes jusqu'à ce que la LED SYS clignote en ambre.
• Laissez l'appareil redémarrer complètement.

Connecter et configurer le nouveau dispositif de remplacement

• Connectez votre PC au port LAN du nouveau pare-feu.
• Vous aurez également besoin d'un accès à Internet sur le nouveau dispositif pour l'enregistrer et l'ajouter au site Nebul.
• Connectez-vous en utilisant l'IP par défaut : 192.168.168.1 (admin / 1234).
• Initialiser l'appareil, et pendant le processus d'initialisation, enregistrer l'appareil dans la même organisation.
• Ajoutez votre nouvel appareil au deuxième site ; le nouvel appareil sera notre appareil de secours/secondaire.

Étape 4 - Appairer à nouveau les appareils pour le HA

• Sur le dispositif principal, allez dans > Système >Device HA > Configuration HA
• Cliquez sur Enable HA (Activer HA ) et configurez :

• Sur l'appareil secondaire, allez à > Système >Appareil HA > Configuration HA
• Cliquez sur Enable HA and set (sur un appareil passif, il n'est pas nécessaire d'effectuer des réglages HA, il suffit d'activer cette fonction) :

Notez également que le câble Heartbeat doit être déconnecté pour l'instant.

Étape 5 - Synchronisation et test

• Une fois que la fonction HA est activée des deux côtés :
  • Le dispositif principal doit transférer sa configuration vers le nouveau dispositif.
  • Attendez que la synchronisation soit terminée. Cela peut prendre quelques minutes.
  • Vérifiez le statut HA: Système > Dispositif HA > Journal HA

Étape 6 - Procédure de test de basculement :

Simuler une défaillance du système principal
Arrêtez temporairement le système principal ou déconnectez-le du réseau étendu pour simuler un scénario de défaillance.

Vérifier la prise en charge du système secondaire
Confirmez que le système secondaire nouvellement désigné assume avec succès le rôle de système principal sans interruption de service.

Rétablissement du système primaire et validation de l'état HA
Redémarrer le dispositif actif pour réactiver le dispositif primaire d'origine. Vérifiez que l'état de haute disponibilité (HA) se normalise et que les rôles sont rétablis.

Si l'état de synchronisation semble incorrect, bien que les journaux et les paramètres indiquent un fonctionnement correct, vous pouvez résoudre le problème via la console Web en exécutant la commande suivante :

usgflex500h> cmd device-ha force-sync full
OKusgflex500h>