Zyxel USG FLEX série H [HA] - Nastavenie vysokej dostupnosti zariadenia (HA PRO)

Riešenie Device HA (High Availability) (HA PRO) zaručuje nepretržitú sieťovú konektivitu využitím dvojice firewallov, ktoré figurujú v aktívno-pasívnom nastavení. V tejto konfigurácii aktívny firewall spracúva prevádzku za normálnych podmienok, zatiaľ čo pasívny firewall zostáva v pohotovostnom režime. V prípade zlyhania aktívneho zariadenia pasívne zariadenie v priebehu niekoľkých sekúnd automaticky prevezme funkciu aktívneho firewallu, čím sa zabezpečí minimálne prerušenie a zachovanie bezproblémovej prevádzky siete.

Zavedenie vysokej dostupnosti zariadenia

• Spustenie a prevádzková konfigurácia
• Podpisy
• Prehľad o zariadení
• Zoznam externých blokov
• položky prenájmu DHCP
• Dvojfaktorová autentifikácia
• Certifikáty
• Licencie vrátane NCC, ak sa uplatňujú
• Čas zariadenia Zyxel

Požiadavka

• Zariadenie HA vyžaduje rovnaký model firewallu a musí mať nainštalovanú rovnakú verziu firmvéru.
• Obe zariadenia musia byť registrované v rovnakej organizácii.

Primárne a sekundárne úlohy zariadenia

• Úlohy primárnych a sekundárnych zariadení sú definované pred nasadením a počas prevádzky zariadenia zostávajú nezmenené.
• Stavy aktívneho a pasívneho režimu sa môžu dynamicky meniť počas prepnutia na iný režim.

Heartbeat Port

• Vyhradený port srdcovej frekvencie s priamym spojením medzi zariadeniami na vzájomné monitorovanie stavu
• Port srdcovej frekvencie pre každý model je preddefinovaný

Predpoklady zariadenia HA

• Uistite sa, že primárne aj sekundárne zariadenie spĺňajú nasledujúce požiadavky:

1. Rovnaký model - obe zariadenia musia byť USG FLEX 200H; rôzne modely (napr. 200H vs. 200HP) nie sú podporované.
2. Rovnaký firmvér - Musí byť spustená rovnaká verzia (uOS 1.31 alebo novšia).
3. Rovnaká organizácia Nebula - Obaja musia byť zaregistrovaní pod rovnakou organizáciou.
   • Priradenie primárneho zariadenia k lokalite 1
   • Priradenie sekundárneho zariadenia k lokalite 2

Poznámka: Dôrazne sa odporúča, aby sa kroky registrácie zariadenia na Nebula dokončili pred párovaním HA.

• Povolenie SSH - SSH musí byť povolené na oboch zariadeniach (Systém > SSH) s použitím portu 22 pre synchronizáciu zariadenia HA.
• Podsieť IP správy - Podporovaná je iba sieť 255.255.255.0.

Nastavenie zariadenia HA

Ak chcete nastaviť funkciu Device HA, prihláste sa do webového rozhrania firewallov Zyxel a prejdite na:

Set up Device HA on the active Zyxel Device in System > Device HA > HA Configuration. 

Zodpovedne vyberte typ Mac adresy, pretože toto nastavenie sa po aktivácii HA nedá zmeniť. Ak chcete vykonať ďalšie zmeny, musíte deaktivovať HA, vykonať zmeny a potom znova nastaviť HA.

Skontrolujte protokol HA aktívneho zariadenia Zyxel v ponuke Systém > Zariadenie HA > Protokol HA

Nakonfigurujte HA zariadenia na pasívnom zariadení Zyxel v ponuke Systém > Zariadenie HA > Konfigurácia HA.

Enable (Povoliť) - HA Configuration (Konfigurácia HA) (V tejto fáze nie je potrebná žiadna ďalšia akcia. Po aktivácii HA na pasívnom zariadení od neho odpojte všetky sieťové pripojenia a potom pripojte kábel srdcovej frekvencie z aktívneho zariadenia k pasívnemu zariadeniu).

Upozornenie DÔLEŽITÉ: Aktivácia vysokej dostupnosti (HA) sekundárneho zariadenia spôsobí:
- Porty WAN/LAN zariadenia sa spoja.
- Odhláste aktuálnu reláciu webového grafického rozhrania

Pripojte ethernetový kábel srdcovej frekvencie medzi aktívnym a pasívnym zariadením Zyxel.

Overte stav HA aktívneho a pasívneho zariadenia Zyxel v ponuke System (Systém) > Device HA (Zariadenie HA) > HA Status (Stav HA).

Skontrolujte protokoly na aktívnom zariadení Zyxel v ponuke System (Systém) > Device HA (Zariadenie HA) > HA Log (Protokol HA).

Úspešné prepnutie pri poruche - protokol

Spracovanie chýb

Firewall zistí, či je firmvér alebo model zariadenia odlišný

Stav párovania sa nepodarilo: Nemožno správne získať MAC/SN z certifikátu Registrácia zariadenia zlyhala Zistená nezhoda firmvéru alebo modelu zariadenia Zariadenia patria do inej organizácie Nesúlad vlastníctva zariadenia Zariadenie nie je priradené k lokalite

Príklad 1: Ako skontrolovať stav HA zariadenia

usgflex500h> show state vrf main device-ha status
status
    enabled true
    pairing-state paired
    pairing-msg Paired
    ha-health-state connected
    local-state passive
    local-role primary
    active
        role secondary
        sn S212L4029XXXX
        icon-color on
        ..
    passive
        role primary
        sn S212L4029XXXX
        icon-color on
        ..
    ..

usgflex500h> show state vrf main device-ha summary
summary
    last-failover-epoch 1735296426
    last-failover-reason "Monitor interface link down"
    last-sync-epoch 1735296121
    last-sync-status Success
    ..

Príklad 2: Vynútenie úplnej synchronizácie

[Aktívne]

usgflex500h> cmd device-ha force-sync full
OKusgflex500h>

[Pasívne]

usgflex500h> cmd device-ha force-sync full
This command can only be used on active device.

Príklad 3: Ako skontrolovať stav synchronizácie?

[Pasívne]

usgflex700h> show state vrf main device-ha _debug sync-info
sync-info
    op-state passive
    msg "[Full sync(1024)] Received file sync event."
    date 2024/12/30-11:13:37
    ..
sync-info
    op-state passive
    msg "[Full sync(1024)] Full sync start..."
    date 2024/12/30-11:13:37
    ..
sync-info
    op-state passive
    msg "[Neoagent Certificate(8)] Neoagent Certificate sync start..."
    date 2024/12/30-11:13:37
    ..
sync-info
    op-state passive
cert_neoagent.tar.bz2 download success!"
    date 2024/12/30-11:13:37
    ..

Upozornenie:
uOS 1.31 zabraňuje používateľom použiť konfiguráciu v GUI , CLI a nástroji NCC live, keď je zariadenie HA spárované
Dôvodom je vyhnúť sa použitiu konfigurácie, ak HA nie je aktivovaný