Firewall High Availability [HA Pro] - Redéploiement du dispositif HA Pro

Création 7 septembre 2021 09:27 - Mise à jour 5 septembre 2025 12:13

Serhii Boiarynov

Vous avez d’autres questions ? Envoyer une demande

Avis important :
Cher client, veuillez noter que nous utilisons la traduction automatique pour fournir des articles dans votre langue locale. Il se peut que certains textes ne soient pas traduits correctement. En cas de questions ou de divergences sur l'exactitude des informations contenues dans la version traduite, veuillez consulter l'article original ici: Version originale

Cet article fournit des conseils sur le redéploiement de HA-Pro lorsqu'il ne fonctionne pas correctement, souvent en raison d'emplacements de micrologiciels incorrects ou de versions de micrologiciels différentes. Il met l'accent sur le fait que les deux appareils de la configuration Device HA Pro doivent être du même modèle, enregistrés sous le même compte myZyxel.com et avoir des licences synchronisées. L'article décrit les étapes de la configuration de base, du déploiement du premier et du second périphérique, de la vérification de l'état et du test de basculement. Il traite également de l'importance d'assurer la cohérence du micrologiciel et fournit des conseils de dépannage pour les problèmes de synchronisation. Pour obtenir une aide à la configuration détaillée, les utilisateurs sont invités à s'adresser aux services professionnels de Zyxel.

Configuration de base - Device HA Pro.

Topo (DeviceHA-Pro)

Dans Device HA Pro, un "heartbeat link" est ajouté pour surveiller l'état de l'interface et synchroniser les paramètres.

Le comportement de Device HA Pro comprend un lien de battement de cœur pour surveiller l'état de l'interface de l'appareil "activé". Si l'une des interfaces surveillées est morte ou tombe en panne, l'état de l'appareil "passif" devient "actif".(Cela signifie qu'un seul appareil peut être "activé" à la fois).

Lien Heartbeat
Le port Heartbeat est un nouveau port physique sur l'appareil (fixé dans Firmware last Port of supported HA-Pro device). Après avoir activé Device HA Pro, les appareils transmettront des paquets multicast (UDP 694) pour vérifier l'état de chaque appareil. Lorsque l'appareil passif fonctionne correctement, le voyant DEL du système s'allume. Seul le voyant du port Heartbeat peut être allumé.

Informations importantes : Les deux appareils doivent être du même modèle et enregistrés dans le même compte myZyxel.com. Les licences doivent être transférées sur l'appareil actif. Lorsque le pare-feu actif tombe en panne, toutes les licences sont automatiquement transférées vers le pare-feu passif.

Qu'est-ce qui peut mal se passer ? Pourquoi ne peut-on pas voir l'état correct des licences sur le serveur myzyxel.com ?
Dans les paramètres de Device-HA Pro, il y a une fonction "Numéro de série de l'appareil sous licence pour la synchronisation de la licence". Vous devez entrer le numéro de série de l'appareil avec les licences. Vous pouvez donc transférer toutes les licences vers l'appareil "Activer" et entrer le numéro de série de cet appareil dans le cadre.

Remarque: la licence Gold Security Pack d'un an par défaut des passerelles ATP n'est pas transférable. Pour un déploiement Device HA, veuillez contacter le support Zyxel dans votre pays/région pour vous aider à transférer les licences. Vous trouverez des informations sur les licences ici : Device HA Pro - Ai-je besoin de toutes les licences deux fois pour une solution HA (haute disponibilité) ?

L'installation de base se trouve ici : Installation de base - Device HA Pro

Avant de redéployer le système HA-Pro

(1) Transférez toutes les licences sur le dispositif primaire. Cela permet d'éviter au système de recompter les licences à chaque fois.
(2) Activez la fonction de vérification de la connectivité sur les interfaces surveillées. Lorsqu'une interface ne reçoit aucune réponse du serveur distant pendant un certain temps, l'appareil considère l'interface comme défaillante. La fonction Device HA Pro modifie alors l'état de l'interface.

Sauvegarder la configuration actuelle de DeviceA (Active) .
Assurez-vous que l'appareil B (passif) est réinitialisé à la configuration par défaut.
Sur le dispositif B, la version du micrologiciel en cours d'exécution doit être la même que celle du dispositif A.
Sur l'appareil B, la partition du micrologiciel en cours d'exécution doit se trouver au même endroit que sur l'appareil A.
Confirmer que le numéro de série du dispositif A est saisi sur la page HA-Pro.

Aller à Configuration> Device HA>DeviceHA-Pro

Ensuite, Progress configure les paramètres HA.

Remarque ! L'IP de gestion du dispositif et les sous-réseaux locaux ne peuvent pas être les mêmes !

Déployer le premier appareil

Configurer les paramètres de HA Pro (IP de gestion, interface de surveillance, licence)
En ligne en tant que dispositif actif

4. Déployer le deuxième appareil

La version du micrologiciel en cours d'exécution doit être la même que celle du premier appareil.
La partition du micrologiciel en cours d'exécution doit avoir la même position que celle du premier appareil.

La partition en cours d'exécution du premier dispositif est la partition 1, alors la partition en cours d'exécution du second dispositif doit être la partition 1.

Configurer les paramètres HA-pro sur l'interface graphique (clic sur 2 boutons uniquement)

Sur le périphérique passif d'abord :

Sur le périphérique actif en second :

Connecter la console sur les deux appareils

Connectez le lien du port Heartbeat et attendez la synchronisation complète.

Note : cela prend du temps (plus de 10 minutes) pour la première synchronisation complète de la configuration.

Comment vérifier si la synchronisation complète s'est terminée sans problème,

Sur la console de l'appareil passif, vous verrez le port physique (le PC connecté).

^1ère descente: après avoir activé la fonction HA-pro de l'appareil

^1er haut: commence à appliquer la synchronisation de la configuration à partir de l'appareil actif.

^2e descente: la synchronisation est presque terminée

Ensuite, vous pouvez aller sur la console de l'appareil actif pour taper CLI

# show device-ha2 passive device-status

Jusqu'à ce que vous obteniez les informations sur le dispositif passif.

Retournez ensuite à la console de l'appareil passif pour taper CLI

# show device-ha2 sync summary

Il est très important que l'état de [ZySH Startup Configuration] soit réussi sans aucun problème et que la dernière ligne indique l'état de Device HA Sync.

Attention :

En cas d'échec, déconnectez tous les liens. Réinitialisez ensuite l'appareil aux paramètres d'usine et réessayez.

Ne copiez pas le fichier de configuration du premier appareil et ne le téléchargez pas sur le deuxième appareil pour le déployer.

Connecter le reste des liens

Tester le basculement

Vous pouvez utiliser le CLI de débogage sur l'appareil actif pour simuler l'événement d'interruption de l'interface.

Ainsi, le basculement vers le dispositif passif sera déclenché.

# debug device-ha2 send linkdown

Vérification de l'état de la synchronisation via l'interface Web :

CONFIGURATION > Device HA > View log il doit y avoir Synchronize complete.

Ou vérifier via CLI : Vérifier l'état détaillé de la synchronisation sur l'appareil.

show device-ha2 sync summary

Il est très important que la dernière entrée relative à l'état de la synchronisation de Device HA indique qu'elle a réussi.

Échec de la synchronisation

Remarque : il existe deux méthodes pour forcer la synchronisation complète de la configuration. La commande varie en fonction de l'endroit où vous la lancez.
Sur un dispositif passif : Router# device-ha2 sync_from_active
Sur un périphérique actif : Router# device-ha2 sync_to_passive

Lors d'une mise à niveau du micrologiciel, le dispositif passif procède d'abord à la mise à niveau du micrologiciel, puis redémarre.
Après le redémarrage du périphérique passif, il effectuera immédiatement une synchronisation complète de la configuration.
La synchronisation échouera car le micrologiciel de l'appareil passif est différent de celui de l'appareil actif.
Il s'agit d'un comportement normal et vous pouvez ignorer les journaux d'échec de synchronisation dans ce cas.

La configuration de base de HA Pro se trouve ici : Configuration de l'appareil HA Pro

Assistance à la configuration, vous recherchez une assistance à la configuration par notre équipe de services professionnels ? Veuillez consulter cette page : Zyxel ConfigService Security