Zyxel USG FLEX H-serien [HA] - Konfigurera enhetens höga tillgänglighet (HA PRO)

Lösningen Device HA (High Availability) (HA PRO) garanterar kontinuerlig nätverksanslutning genom att använda ett par brandväggar i en aktiv-passiv konfiguration. I den här konfigurationen hanterar den aktiva brandväggen trafik under normala förhållanden medan den passiva brandväggen förblir i standby. Om den aktiva enheten skulle gå sönder tar den passiva enheten automatiskt över som aktiv brandvägg inom några sekunder, vilket ger minimala störningar och upprätthåller en sömlös nätverksdrift.

Introduktion av enhetens höga tillgänglighet

• Konfiguration för start och drift
• Signaturer
• Enhetens insikt
• Extern blockeringslista
• Poster för DHCP-leasing
• Tvåfaktorsautentisering
• Certifikat
• Licenser inklusive NCC om tillämpligt
• Zyxel-enhet Tid

Krav på tid

• HA-enheten kräver samma brandväggsmodell och måste installera samma firmwareversion.
• Båda enheterna måste vara registrerade hos samma organisation.

Primära och sekundära enhetsroller

• Rollerna för de primära och sekundära enheterna definieras före driftsättning och förblir oförändrade under enhetens drift.
• Tillstånden för aktivt och passivt läge kan ändras dynamiskt under failover.

Heartbeat-port

• En dedikerad heartbeat-port med direktanslutning mellan enheterna för att övervaka varandras status
• Heartbeat-porten för varje modell är fördefinierad

Förutsättningar för enhet HA

• Säkerställ att både primära och sekundära enheter uppfyller följande:

1. Samma modell - Båda måste vara USG FLEX 200H; olika modeller (t.ex. 200H vs. 200HP) stöds inte.
2. Samma firmware - Måste köra samma version (uOS 1.31 eller senare).
3. Samma Nebula-organisation - Båda måste vara registrerade under samma organisation.
   • Tilldela den primära till plats 1
   • Tilldela den sekundära till Site 2

Obs: Det rekommenderas starkt att stegen för enhetsregistrering på Nebula slutförs innan HA kopplas ihop.

• Aktivera SSH - SSH måste vara aktiverat på båda enheterna (System > SSH) med port 22 för enhetens HA-synkronisering.
• Hanteringens IP-subnät - Endast 255.255.255.0 stöds.

Konfigurera enhetens HA

För att konfigurera funktionen Device HA loggar du in i webbgränssnittet för Zyxels brandväggar och navigerar till:

Set up Device HA on the active Zyxel Device in System > Device HA > HA Configuration. 

Välj typen av Mac-adress på ett ansvarsfullt sätt, eftersom den här inställningen inte kan ändras när HA har aktiverats. Om du vill göra ytterligare ändringar måste du inaktivera HA, göra ändringarna och sedan konfigurera HA igen.

Kontrollera HA-loggen för den aktiva Zyxel-enheten i System > Enhet HA > HA-logg

Konfigurera enhetens HA på den passiva Zyxel-enheten i System > Enhet HA > HA-konfiguration.

Aktivera - HA-konfiguration (inga ytterligare åtgärder krävs i detta skede. När du har aktiverat HA på den passiva enheten ska du koppla bort alla nätverksanslutningar från den och sedan ansluta heartbeat-kabeln från den aktiva enheten till den passiva enheten).

Varning VIKTIGT: Aktivering av den sekundära enhetens High Availability (HA) kommer att:
- Enhetens WAN/LAN-portar kommer att kopplas ned.
- Logga ut från den aktuella web GUI-sessionen

Anslut Ethernet-kabeln för Heartbeat mellan den aktiva och den passiva Zyxel-enheten.

Verifiera HA-statusen för de aktiva och passiva Zyxel-enheterna i System > Enhet HA > HA-status.

Kontrollera loggarna på den aktiva Zyxel-enheten i System > Enhet HA > HA-logg.

Lyckad växling - Logg

Hantering av fel

Brandväggen kommer att upptäcka om enhetens firmware eller modell är annorlunda

Status för misslyckad parkoppling: Det går inte att få MAC/SN korrekt från certifikatet Registreringen av enheten misslyckades Felmatchning av enhetens inbyggda programvara eller modell upptäckt Enheterna tillhör olika organisationer Missmatchning av enhetens ägarskap Enheten är inte tilldelad en plats

Exempel 1: Hur man kontrollerar enhetens HA-status

usgflex500h> show state vrf main device-ha status
status
    enabled true
    pairing-state paired
    pairing-msg Paired
    ha-health-state connected
    local-state passive
    local-role primary
    active
        role secondary
        sn S212L4029XXXX
        icon-color on
        ..
    passive
        role primary
        sn S212L4029XXXX
        icon-color on
        ..
    ..

usgflex500h> show state vrf main device-ha summary
summary
    last-failover-epoch 1735296426
    last-failover-reason "Monitor interface link down"
    last-sync-epoch 1735296121
    last-sync-status Success
    ..

Exempel 2: Tvinga fram en fullständig synkronisering

[Aktiv]

usgflex500h> cmd device-ha force-sync full
OKusgflex500h>

[Passiv]

usgflex500h> cmd device-ha force-sync full
This command can only be used on active device.

usgflex500h> cmd device-ha force-sync full
This command can only be used on active device.

Exempel 3: Hur kontrollerar man synkroniseringsstatus?

[Passiv]

usgflex700h> show state vrf main device-ha _debug sync-info
sync-info
    op-state passive
    msg "[Full sync(1024)] Received file sync event."
    date 2024/12/30-11:13:37
    ..
sync-info
    op-state passive
    msg "[Full sync(1024)] Full sync start..."
    date 2024/12/30-11:13:37
    ..
sync-info
    op-state passive
    msg "[Neoagent Certificate(8)] Neoagent Certificate sync start..."
    date 2024/12/30-11:13:37
    ..
sync-info
    op-state passive
cert_neoagent.tar.bz2 download success!"
    date 2024/12/30-11:13:37
    ..

Vänligen notera följande:
uOS 1.31 hindrar användare från att tillämpa konfiguration på GUI, CLI och NCC live-verktyg när enheten HA är ihopkopplad
Anledningen är att undvika att tillämpa konfiguration där HA inte är aktiverat