Zyxel USG FLEX H Series [HA] - wymiana urządzenia lub ponowne wdrożenie HA (HA PRO)

Aby wymienić uszkodzoną lub niedziałającą zaporę sieciową Zyxel USG FLEX serii H w konfiguracji wysokiej dostępności (HA), konieczne jest przestrzeganie najlepszych praktyk w celu zminimalizowania przestojów i skutecznego przywrócenia funkcjonalności HA. Podczas gdy wymiana uszkodzonego urządzenia zasadniczo wiąże się z rekonfiguracją konfiguracji HA od zera, niniejszy przewodnik przedstawia kluczowe kroki, najlepsze praktyki i ważne niuanse, które pomogą usprawnić proces i uniknąć typowych pułapek.

Oto przewodnik krok po kroku dotyczący wymiany i odbudowy HA w takim scenariuszu:

• Masz dwie zapory sieciowe USG FLEX serii H (Primary i Secondary).
• Uszkodzone urządzenie "Primary" zostanie zastąpione nowym, działającym urządzeniem tego samego modelu.
• Urządzenie dodatkowe / rezerwowe nadal działa i jest obecnie aktywne.

Topologia HA:

• USG FLEX 500H - Site5(FLEX500HP_1) - Primary (główna witryna, w której fizycznie zarejestrowane są wszystkie urządzenia w naszej witrynie i główna zapora ogniowa)
• USG FLEX 500H -Site5(FLEX500HP_2) - Secondary (lokalizacja z fizycznie zarejestrowanym tylko zapasowym urządzeniem firewall)

Ta konfiguracja może być nieco myląca, ponieważ zapory są zarejestrowane w różnych lokalizacjach. Jednak zapora w lokalizacji dodatkowej (zapasowej/pasywnej) zawsze będzie wyświetlana jako offline, podczas gdy zapora w lokalizacji podstawowej (głównej) będzie konsekwentnie wyświetlana jako online, niezależnie od tego, która zapora aktywnie obsługuje ruch w danym momencie.

Załóżmy, że podstawowa zapora sieciowa zarejestrowana w głównej witrynie uległa awarii, a zapasowa (drugorzędna) zapora sieciowa obsługuje obecnie cały ruch. W takim przypadku musimy zastąpić uszkodzoną zaporę zarejestrowaną w głównej witrynie. Ale możemy również przenieść nasze urządzenie pasywne do głównej witryny i uczynić je główną witryną, a dopiero potem dodać nasze nowe urządzenie jako urządzenie pasywne.

Krok 1: Usunięcie uszkodzonego urządzenia równorzędnego HA

• Fizycznie odłącz uszkodzone urządzenie i usuń je z systemu.
• Na aktywnym (działającym) urządzeniu przejdź do: Menu po lewej > System > Urządzenie HA
  Jeśli HA jest obecnie włączony, ale nie można zsynchronizować się z uszkodzonym urządzeniem równorzędnym, kliknij Wyłącz HA.
• Zapisz i zastosuj zmiany, aby zakończyć ten krok.

Utwórz kopię zapasową konfiguracji na aktywnym urządzeniu (nie jest to obowiązkowe, ale jest to najlepsza praktyka, aby uniknąć utraty ustawień. Najlepiej zawsze mieć kopię konfiguracji).

• Zaloguj się do aktywnego (działającego) urządzenia.
• Przejdź do Konserwacja > Menedżer plików > Plik konfiguracji.
• Pobierz ostatnią dobrą i startową konfigurację urządzenia Active (na wypadek, gdyby coś poszło nie tak).

Krok 2 - Przygotowanie do HA aktywnego urządzenia głównego

W tym przykładzie będziemy postępować poprzez przypisanie aktualnie aktywnego urządzenia do Site 1 jako urządzenia podstawowego. Zastępcze (nowe) urządzenie zostanie przypisane do Site 2 jako urządzenie zapasowe (Secondary).

Ponieważ wyłączyliśmy HA na aktywnym urządzeniu w poprzednich krokach, urządzenie jest teraz wyświetlane jako online w witrynie 2. Jak pokazano na poniższym obrazku, teraz ponownie przypiszemy to urządzenie do lokalizacji 1 i wyznaczymy je jako urządzenie podstawowe.

Najpierw musimy usunąć uszkodzoną zaporę sieciową z głównej witryny.

Najpierw musimy usunąć uszkodzoną zaporę sieciową z głównej witryny.	Przypisz swoje aktywne urządzenie do głównej lokalizacji, czyniąc je tym samym głównym.

Można teraz sprawdzić, czy poprzednio używane urządzenie Secondary zostało pomyślnie dodane do głównej witryny i naturalnie przejęło rolę urządzenia Primary.

Krok 3 - Przygotowanie do HA urządzenia pasywnego

• Rozpakuj i włącz nowe/zastępcze urządzenie, ale nie podłączaj go jeszcze do sieci.
• Upewnij się, że wersja oprogramowania sprzętowego odpowiada urządzeniu aktywnemu (sprawdź w sekcji Konserwacja > Oprogramowanie sprzętowe).
• Jeśli nie, zaktualizuj oprogramowanie sprzętowe.

Przywróć ustawienia fabryczne nowego urządzenia (jeśli było wcześniej używane)

• Przytrzymaj przycisk RESET przez około 10 sekund, aż dioda SYS zacznie migać na bursztynowo.
• Poczekaj, aż urządzenie całkowicie się zrestartuje.

Podłącz i skonfiguruj nowe urządzenie zastępcze

• Podłącz komputer do portu LAN nowego firewalla.
• Będziesz także potrzebował dostępu do Internetu na nowym urządzeniu, aby je zarejestrować i dodać do witryny Nebul.
• Zaloguj się przy użyciu domyślnego adresu IP: 192.168.168.1 (admin / 1234).
• Zainicjuj urządzenie, a podczas procesu inicjalizacji zarejestruj urządzenie w tej samej organizacji.
• Dodaj nowe urządzenie do drugiej lokalizacji; nowe urządzenie będzie naszym urządzeniem zapasowym/dodatkowym

Krok 4 - Ponowne sparowanie urządzeń dla HA

• Na urządzeniu głównym przejdź do > System >Device HA > HA Configuration.
• Kliknij Włącz HA i ustaw:

• Na urządzeniu dodatkowym przejdź do > System >Device HA > HA Configuration
• Kliknij Włącz HA i ustaw (na urządzeniu pasywnym nie ma potrzeby wprowadzania żadnych ustawień HA, wystarczy aktywować tę funkcję):

Należy również pamiętać, że kabel heartbeat powinien być na razie odłączony.

Krok 5 - Synchronizacja i testowanie

• Po włączeniu HA po obu stronach:
  • Urządzenie główne powinno przesłać swoją konfigurację do nowego urządzenia.
  • Poczekaj na zakończenie synchronizacji. Może to potrwać kilka minut.
  • Sprawdź status HA: System > Device HA > HA Log

Krok 6 - Procedura testowania pracy awaryjnej:

Symulacja awarii systemu podstawowego
Tymczasowo wyłącz lub odłącz system podstawowy od sieci WAN, aby zasymulować scenariusz awarii.

Zweryfikuj przejęcie systemu pomocniczego
Potwierdź, że nowo wyznaczony system drugorzędny z powodzeniem przejmuje rolę podstawowego bez przerywania usługi.

Przywróć system podstawowy i sprawdź status HA
Ponowne uruchomienie aktywnego urządzenia w celu ponownego uaktywnienia pierwotnego urządzenia podstawowego. Sprawdź, czy stan wysokiej dostępności (HA) normalizuje się i role powracają.

Jeśli stan synchronizacji wydaje się nieprawidłowy, pomimo dzienników i ustawień wskazujących na prawidłowe działanie, można rozwiązać problem za pomocą konsoli internetowej, wykonując następujące polecenie:

usgflex500h> cmd device-ha force-sync full
OKusgflex500h>