Palo Alto II.6 Cấu hình dự phòng NGFW theo cơ chế: Active/Passive, Active/Active

ducthxnh

ducthxnh

Intern
II.6 Cấu hình dự phòng NGFW theo cơ chế: Active/Passive, Active/Active​
1. Active/Passive
1785494352783.png


*** Cấu hình cả 2 Palo tương tự - Trước khi thực hiện HA
1785494364346.png

Các Policies > Security và NAT giống các bài trước đã cấu hình
Dây eth1/6 và 1/7 là dây LACP
Cấu hình Active/Passive là cấu hình 2 FW chạy song song, 1 chủ động và 1 bị động, đảm bảo hệ thống mạng luôn hoạt động kể cả khi FW (Active) có vấn đề thì vẫn có dự phòng (Passive)
Con Active: Trực tiếp xử lý toàn bộ traffic từ mạng LAN ra Internet. Các cổng Data hiển thị trạng thái Up (Xanh).
Con Passive: Ở trạng thái đứng đợi (Standby), không xử lý dữ liệu. Các cổng Data vật lý bị ngắt logic (Đỏ) để tránh xung đột IP.

# Switch-DMZ

hostname SW-DMZ
vlan 100
name DMZ
interface GigabitEthernet0/0
description Link_to_PA1_eth1-5
switchport mode access
switchport access vlan 100
spanning-tree portfast

interface GigabitEthernet0/1
description Link_to_PA2_eth1-5
switchport mode access
switchport access vlan 100
spanning-tree portfast

interface GigabitEthernet0/2
description Winserver
switchport mode access
switchport access vlan 100
spanning-tree portfast

interface GigabitEthernet0/3
description Linux
switchport mode access
switchport access vlan 100
spanning-tree portfast
end

# Switch lõi "Inside" (Cisco IOS) — có LACP xuống 2 PA
hostname CORE-SW
vlan 10
name VLAN10
vlan 20
name VLAN20

interface GigabitEthernet0/0
description PA1_eth1-6_LACP
channel-group 1 mode active

interface GigabitEthernet0/1
description PA1_eth1-7_LACP
channel-group 1 mode active

interface GigabitEthernet0/2
description PA2_eth1-6_LACP
channel-group 2 mode active

interface GigabitEthernet0/3
description PA2_eth1-7_LACP
channel-group 2 mode active

interface Port-channel1
description To_PA1_ae1
switchport trunk encapsulation dot1q
switchport mode trunk
switchport trunk allowed vlan 10,20

interface Port-channel2
description To_PA2_ae1
switchport trunk encapsulation dot1q
switchport mode trunk
switchport trunk allowed vlan 10,20

interface GigabitEthernet1/0
description To_SW-VLAN10
switchport mode access
switchport access vlan 10

interface GigabitEthernet1/1
description To_SW-VLAN20
switchport mode access
switchport access vlan 20
end

#Switch VLAN10
hostname SW-VLAN10
vlan 10
name VLAN10

interface GigabitEthernet0/0
description Uplink_CoreSW
switchport mode access
switchport access vlan 10
interface GigabitEthernet0/1
description Win-PC
switchport mode access
switchport access vlan 10

interface GigabitEthernet0/2
description VPC
switchport mode access
switchport access vlan 10
end

#Switch VLAN20
hostname SW-VLAN20
vlan 20
name VLAN20

interface GigabitEthernet0/0
switchport mode access
switchport access vlan 20

interface GigabitEthernet0/1
switchport mode access
switchport access vlan 20

interface GigabitEthernet0/2
switchport mode access
switchport access vlan 20
end

Ở đây thêm 1 con FW Palo Alto 2 nối thêm 2 dây giữa các FW, đây là các đường link HA
  • HA1 (Control Link): Chịu trách nhiệm đồng bộ hóa cấu hình (Config Sync) và gửi tín hiệu nhịp tim (Heartbeat) để giám sát trạng thái giữa 2 con Firewall.
  • HA2 (Data Link): chịu trách nhiệm đồng bộ hóa bảng trạng thái phiên làm việc (Session Sync) và bảng ARP, giúp quá trình chuyển mạch không bị đứt kết nối.
Cấu hình cổng eth1/3 và 1/4 là 2 đường HA cho A/P
High Availability (Device > High Availability)
#PA1
Ở TAB General
Phần SETUP
Cấu hình giống nhau về Group ID, khác Priority.
Đặt cả 2 con chung 1 Group ID là 1
Chọn mode A/P
Peer để hướng HA về IP HA con PA2 là 10.10.10.2
1785494643973.png

Phần Election Settings
1785494652695.png

Đặt là 100 - Nếu PA nào làm active thì sẽ đặt số Priority thấp hơn > ưu tiên cao hơn
Chuyển sang Tab HA Communications:
Control Links (HA1)
Đây là đường truyền điều khiển giữa 2 thiết bị Firewall trong cụm HA (Active/Passive hoặc Active/Active).
  • Port (ethernet1/3): Cổng vật lý được sử dụng chuyên biệt cho kết nối HA1.
  • IPv4/IPv6 Address (10.10.10.1) & Netmask (255.255.255.0): Địa chỉ IP cấu hình trên cổng HA1 của thiết bị này (thiết bị đối diện sẽ cần đặt IP cùng subnet, ví dụ 10.10.10.2).
  • Encryption Enabled (Không chọn): Tùy chọn mã hóa gói tin truyền trên kênh HA1 đang tắt (thường dùng để tiết kiệm tài nguyên hoặc môi trường Lab).
  • Monitor Hold Time (3000 ms): Thời gian chờ (3 giây) trước khi thiết bị nhận diện lỗi liên kết hoặc trạng thái của peer để đưa ra quyết định chuyển đổi dự phòng (Failover)
Data Links (HA2)
Đây là đường truyền dữ liệu đồng bộ giữa 2 thiết bị trong cụm HA.
Enable Session Synchronization (Đã chọn): Bật tính năng đồng bộ phiên kết nối (session state). Giúp khi thiết bị Active chính gặp sự cố, thiết bị Passive lên thay thế sẽ nắm bắt được toàn bộ các phiên kết nối đang chạy mà không làm rớt mạng của người dùng.
Port (ethernet1/4): Cổng vật lý dùng để truyền dữ liệu đồng bộ HA2 (nối trực tiếp giữa 2 firewall).
IPv4/IPv6 Address (10.10.20.1) & Netmask (255.255.255.0): Địa chỉ IP cấu hình trên cổng HA2 của thiết bị này.
Transport (ethernet): Giao thức truyền tải qua tầng Layer 2 (Ethernet direct connection).
HA2 Keep-alive / Action / Threshold: Cấu hình kiểm tra trạng thái sống sót của đường truyền HA2, hiện đang tắt tính năng gửi gói tin keep-alive qua kênh này.

1785494731804.png


#PA2 - làm tương tự đối xứng với PA1
1785494742700.png

1785494747598.png

Commit
Sau khi commit kiểm tra kết quả
Các cổng ở PA2 đã tắt
1785494759283.png

Vào DASHBOARD
Chọn Widgets > System > HA để kiểm tra trước
1785494784073.png

#PA1
1785494801407.png

#PA2
1785494811711.png

Test ping
1785494821378.png

Máy đang liên tục ping
Tắt PA 1 đi
Ping sẽ đứng lại 1 lúc để chuyển đường đi sang FW2
1785494831872.png

1785494844262.png

Các interface PA2 đã up
1785494855218.png

Khi bật lại thì Active sẽ tự chuyển sang PA1 lại
2. Active/Active
Thêm 1 dây HA3 (Session Synchronization Link) nữa , khác với Active/Passive, chế độ Active/Active bắt buộc phải có dây HA3. Cổng này chạy ở Layer 2 (không đặt IP) dùng để đồng bộ hóa thời gian thực các phiên làm việc (Session) giữa 2 con FW. Khi có hiện tượng định tuyến bất đối xứng thì dây HA3 sẽ giúp nhận diện được session để không drop gói tin người dùng
Nối thêm eth1/2 giữa 2 PW PA với nhau
1785494888237.png

PA2
1785494893196.png

PA1
1785494898812.png

****Và điều đặc biệt là chế độ Active/Active hoàn toàn không hỗ trợ cổng mạng nhận IP dạng DHCP nếu như bạn để cổng eth1/1 nhận bên ngoài dãy 10.120.x.x là DHCP thì nên đặt cố định như bài này ngay từ đầu

Chuyển Mode sang Active-Active
Device > High Availability > General
Tại khung Setup
  • Mode: Đổi từ active-passive sang active-active.
  • Device ID: Nhập số 0 (con FW1 đặt là Device 0 con FW2 đặt là Device 1)
1785494932318.png

1785494937193.png

Cấu hình HA3
KÍCH HOẠT ĐỒNG BỘ SESSION QUA DÂY HA3 (trên cả 2 FW giống nhau)
Tìm đến Packet-Forwarding - sửa cả con giống nhau
HA3 Interface (ethernet1/2) Chỉ định cổng vật lý sẽ dùng làm đường truyền HA3 (Data Path Forwarding). Đường này dùng để chuyển tiếp các gói tin giữa hai tường lửa trong trường hợp traffic cần đi qua thiết bị còn lại để xử lý hoặc định tuyến trong mô hình Active/Active.
VR Sync (Virtual Router Synchronization) Tùy chọn đồng bộ hóa các bảng định tuyến động (Dynamic Routing) hoặc thông tin trạng thái Virtual Router giữa hai thiết bị. để đảm bảo cả hai tường lửa luôn cập nhật đồng bộ các tuyến đường (đặc biệt khi dùng OSPF, BGP), giúp việc chuyển tiếp gói tin diễn ra liền mạch trên cả hai thiết bị.
QoS Sync (Quality of Service Synchronization) Đồng bộ hóa các thống kê hoặc trạng thái QoS giữa hai thiết bị. Mặc định có thể để trống (không chọn) nếu hệ thống mạng của bạn không sử dụng các chính sách ưu tiên băng thông QoS phức tạp.
Tentative Hold Time: Thời gian chờ (60 giây) để một phiên kết nối mới đi qua cụm HA ổn định trước khi xác định chính thức thiết bị nào là chủ sở hữu phiên đó (Session Owner).
Session Owner Selection : Quyết định thiết bị nào sẽ là "chủ sở hữu phiên" (Session Owner xử lý tường lửa/security cho luồng traffic đó). Chọn First Packet nghĩa là tường lửa nào nhận được gói tin đầu tiên (SYN packet) của luồng kết nối sẽ trở thành Session Owner của luồng đó. Đây là lựa chọn phổ biến và tối ưu nhất trong Active/Active để phân tải lưu lượng đều cho cả 2 thiết bị dựa trên việc con nào thấy gói tin trước.

1785494957417.png


Sửa lại IP trên từng interface dataplane
Áp dụng cho cả 3:
eth1/1 (Outside),
eth1/5 (DMZ),
ae1 (Inside — vẫn giữ nguyên LACP xuống Core Switch, không đụng gì tới eth1/6/eth1/7).

với eth1/1:
Giữ IP 10.120.170.211/24 cho PA1
Thay 10.120.170.212/24 cho PA2
Lặp lại cho eth1/5 (DMZ)

Sửa NAT rule — trỏ đúng IP cho 2 con FW đi ra
Policies > NAT > Nat-to-Internet > Translated Packet
Thêm NAT từng con FW
Ok-Commit
1785494998039.png
1785495001692.png



Kiểm thử
Khi chạy thuần Active/Active, Palo Alto sử dụng một cơ chế gọi là Floating IP hoặc chia Traffic Group để xử lý đường đi của gói tin.
Cấu hình di chuyển IP Traffic Group
(Phải clear ARP và MAC trên SW trong lúc đang ping) - Test giống Active/Passive
 

Đính kèm

  • 1785494369453.png
    1785494369453.png
    26 KB · Lượt xem: 0
Bài viết liên quan
VI.4 Cấu hình xác định người dùng bằng việc tính hợp với AD (Active Directory) hoặc Captive Portal kết hợp với MFA bởi ducthxnh,
VI.3 Cấu hình xác định người dùng bằng việc tính hợp với AD (Active Directory) bởi ducthxnh,
VI.1. CẤU HÌNH XÁC ĐỊNH NGƯỜI DÙNG BẰNG CAPTIVE PORTAL bởi ducthxnh,
V.4 Cấu hình tính năng lọc nội dung ngăn chặn thất thoát dữ liệu DLP (Data Loss Prevention) bởi ducthxnh,
V.3 Cấu hình tính năng ngăn chặn malware dựa vào sandboxing bởi ducthxnh,
V.2 Cấu hình tính năng ngăn chặn malware dựa vào signatures bao gồm: anti-virus, anti-bot, anti-spam,... bởi ducthxnh,
Được quan tâm
VI.3 Cấu hình xác định người dùng bằng việc tính hợp với AD (Active Directory) bởi ducthxnh,
III.2 Cấu hình VPN Remote cho phép người dùng kết nối vào hệ thống nội bộ sử dụng AD (Active Directory) hoặc user local tạo trên NGFW bởi ducthxnh,
II.2 Cấu hình Backup và Restore cấu hình thiết bị Firewall Palo alto bởi ducthxnh,
V.3 Cấu hình tính năng ngăn chặn malware dựa vào sandboxing bởi ducthxnh,
V.4 Cấu hình tính năng lọc nội dung ngăn chặn thất thoát dữ liệu DLP (Data Loss Prevention) bởi ducthxnh,
IV.2 Cấu hình tính năng URL Filtering và DNS Security để lọc các lưu lượng traffic dựa vào URL bởi ducthxnh,
Bài viết mới
VI.4 Cấu hình xác định người dùng bằng việc tính hợp với AD (Active Directory) hoặc Captive Portal kết hợp với MFA bởi ducthxnh,
VI.3 Cấu hình xác định người dùng bằng việc tính hợp với AD (Active Directory) bởi ducthxnh,
VI.1. CẤU HÌNH XÁC ĐỊNH NGƯỜI DÙNG BẰNG CAPTIVE PORTAL bởi ducthxnh,
V.4 Cấu hình tính năng lọc nội dung ngăn chặn thất thoát dữ liệu DLP (Data Loss Prevention) bởi ducthxnh,
V.3 Cấu hình tính năng ngăn chặn malware dựa vào sandboxing bởi ducthxnh,
V.2 Cấu hình tính năng ngăn chặn malware dựa vào signatures bao gồm: anti-virus, anti-bot, anti-spam,... bởi ducthxnh,
Bạn phải đăng nhập hoặc đăng ký để bình luận.
Back
Top