Zyxel USG FLEX H sorozat [HA] - Az eszköz nagyfokú rendelkezésre állásának beállítása (HA PRO)

A Device HA (High Availability) (HA PRO) megoldás folyamatos hálózati kapcsolatot biztosít egy aktív-passzív beállításban összeállított tűzfalpár használatával. Ebben a konfigurációban az aktív tűzfal normál körülmények között kezeli a forgalmat, míg a passzív tűzfal készenléti állapotban marad. Az aktív eszköz meghibásodása esetén a passzív eszköz másodperceken belül automatikusan átveszi az aktív tűzfal szerepét, így biztosítva a minimális fennakadást és a zökkenőmentes hálózati működés fenntartását.

Az eszköz nagyfokú rendelkezésre állásának bemutatása

• Indítási és futó konfiguráció
• Aláírások
• Device Insight (Eszközbetekintés)
• Külső blokklista
• DHCP-bérleti bejegyzések
• Kétfaktoros hitelesítés
• Tanúsítványok
• Licencek, beleértve az NCC-t is, ha van ilyen
• Zyxel eszközidő

Követelmény

• A HA-eszköznek ugyanarra a tűzfalmodellre van szüksége, és ugyanazt a firmware-verziót kell telepítenie.
• Mindkét eszköznek ugyanannál a szervezetnél kell regisztrálva lennie.

Elsődleges és másodlagos eszközszerepek

• Az elsődleges és másodlagos eszközök szerepét a telepítés előtt határozzák meg, és azok az eszköz működése során változatlanok maradnak.
• Az aktív és a passzív üzemmód állapota dinamikusan változhat a hibaátállás során.

Heartbeat port

• Egy dedikált heartbeat port közvetlen kapcsolattal az eszközök között egymás állapotának figyelemmel kísérése céljából
• A heartbeat port minden egyes modellhez előre meghatározott

A készülék HA előfeltételei

• Győződjön meg arról, hogy mind az elsődleges, mind a másodlagos eszközök megfelelnek a következőknek:

1. Ugyanaz a modell - Mindkettőnek USG FLEX 200H-nak kell lennie; különböző modellek (pl. 200H vs. 200HP) nem támogatottak.
2. Ugyanaz a firmware - Ugyanaz a verzió (uOS 1.31 vagy újabb) kell, hogy fusson.
3. Ugyanaz a Nebula Szervezet - Mindkettőnek ugyanazon szervezet alatt kell regisztrálva lennie.
   • Az elsődleges készüléket az 1. telephelyhez kell rendelni.
   • A másodlagos készüléket a 2. telephelyhez rendelje

Megjegyzés: Nagyon ajánlott, hogy a Nebula eszközregisztrációs lépéseket a HA párosítás előtt végezze el.

• Az SSH engedélyezése - Az SSH-t mindkét eszközön engedélyezni kell (Rendszer > SSH) a 22-es port használatával a Device HA szinkronizáláshoz.
• Kezelési IP-alhálózat - Csak a 255.255.255.255.0 támogatott.

A Device HA beállítása

A Device HA funkció beállításához jelentkezzen be a Zyxel tűzfalak webes felületére, és navigáljon a következőre:

Set up Device HA on the active Zyxel Device in System > Device HA > HA Configuration. 

Válassza ki felelősen a Mac cím típusát, mivel ez a beállítás nem módosítható, ha a HA aktiválva van. További módosításokhoz a HA-t ki kell kapcsolnia, el kell végeznie a módosításokat, majd újra be kell állítania a HA-t.

Ellenőrizze az aktív Zyxel-eszköz HA-naplóját a Rendszer > Eszköz HA > HA-napló menüpontban.

Konfigurálja az eszköz HA-t a passzív Zyxel eszközön a Rendszer > Eszköz HA > HA konfiguráció menüpontban.

Engedélyezés - HA konfiguráció (Ebben a szakaszban nincs szükség további lépésekre. Miután aktiválta a HA-t a passzív eszközön, válassza le róla az összes hálózati kapcsolatot, majd csatlakoztassa a heartbeat kábelt az aktív eszközről a passzív eszközre).

Figyelmeztetés FONTOS: A másodlagos eszköz nagyfokú rendelkezésre állásának (HA) engedélyezése:
- Az eszköz WAN/LAN portjai lekapcsolódnak.
- Jelentkezzen ki az aktuális webes GUI munkamenetből

Csatlakoztassa a heartbeat Ethernet-kábelt az aktív és a passzív Zyxel-eszköz között.

Ellenőrizze az aktív és passzív Zyxel-eszközök HA-állapotát a Rendszer > Eszköz HA > HA állapot menüpontban.

Ellenőrizze az aktív Zyxel eszköz naplóit a Rendszer > Eszköz HA > HA napló menüpontban.

Sikeres átállás - Napló

Hibakezelés

A tűzfal észleli, ha az eszköz firmware-e vagy modellje eltérő

A párosítás sikertelen állapota: MAC/SN nem kapható helyesen a tanúsítványból Az eszköz regisztrációja sikertelen A készülék firmware-je vagy modellje nem egyezik Az eszközök különböző szervezethez tartoznak Az eszköz tulajdonjoga nem egyezik Az eszköz nincs telephelyhez rendelve

Példa 1: Az eszköz HA állapotának ellenőrzése

usgflex500h> show state vrf main device-ha status
status
    enabled true
    pairing-state paired
    pairing-msg Paired
    ha-health-state connected
    local-state passive
    local-role primary
    active
        role secondary
        sn S212L4029XXXX
        icon-color on
        ..
    passive
        role primary
        sn S212L4029XXXX
        icon-color on
        ..
    ..

usgflex500h> show state vrf main device-ha summary
summary
    last-failover-epoch 1735296426
    last-failover-reason "Monitor interface link down"
    last-sync-epoch 1735296121
    last-sync-status Success
    ..

Példa 2: Teljes szinkronizálás kikényszerítése

[Aktív]

usgflex500h> cmd device-ha force-sync full
OKusgflex500h>

[Passzív]

usgflex500h> cmd device-ha force-sync full
This command can only be used on active device.

Példa 3: Hogyan ellenőrizhetjük a szinkronizálási állapotot?

[Passzív]

usgflex700h> show state vrf main device-ha _debug sync-info
sync-info
    op-state passive
    msg "[Full sync(1024)] Received file sync event."
    date 2024/12/30-11:13:37
    ..
sync-info
    op-state passive
    msg "[Full sync(1024)] Full sync start..."
    date 2024/12/30-11:13:37
    ..
sync-info
    op-state passive
    msg "[Neoagent Certificate(8)] Neoagent Certificate sync start..."
    date 2024/12/30-11:13:37
    ..
sync-info
    op-state passive
cert_neoagent.tar.bz2 download success!"
    date 2024/12/30-11:13:37
    ..

Kérjük, vegye figyelembe:
uOS 1.31 megakadályozza, hogy a felhasználók a GUI ,CLI és NCC élő eszközön konfigurációt alkalmazzanak, amikor a készülék HA párosítva van.
Ennek oka a konfiguráció alkalmazásának elkerülése, ha a HA nincs aktiválva.