Cấu hình dự phòng NGFW theo cơ chế: Active/Passive, Active/Active, VRRP (nếu có)
Mô hình:
Cách cấu hình:
FORTIGATE NODE 1:
Trên giao diện của ForiGate-02 ta cũng truy cập vào System > HA để cấu hình các thông số tương tự như FortiGate-01, tuy nhiên hãy lưu ý các thông số Device Priority cần nhỏ hơn so với Primary và nhập đúng Group name và Password:
Sau khi cấu hình xong cả 2 thiết bị, con Secondary sẽ tự động khởi động lại, xóa cấu hình hiện tại của nó và kéo toàn bộ cấu hình từ con Primary sang. Từ lúc này, bạn chỉ có thể truy cập GUI vào con Primary.
Cách cấu hình:
Thực hiện kiểm thử tính năng dự phòng NGFW
Kiểm tra trạng thái HA:
Kiểm thử khi node chính gặp sự cố:
Tiến hành ping ra internet liên tục và tắt node 1: ta thấy sẽ có 1 gói tin bị rớt khi tắt 1 node firewall
Mô hình:
1. Cấu hình Active-Passive (A-P)
Đây là chế độ phổ biến, ổn định và dễ xử lý sự cố nhất. Thiết bị Primary xử lý 100% lưu lượng, thiết bị Secondary ở trạng thái chờ và liên tục đồng bộ cấu hình, session mạng. Khi Primary sập, Secondary sẽ lập tức lên thay.Cách cấu hình:
FORTIGATE NODE 1:
- Vào menu System > HA.
- Cấu hình các thông số sau:
- Mode: Chọn Active-Passive.
- Device Priority: Đặt 200 cho thiết bị muốn làm Primary (chính), và để mặc định 128 cho thiết bị Secondary (phụ). (Ưu tiên số lớn hơn sẽ làm chính).
- Group Name: Đặt tên cụm (VD: HA_FG). Hai thiết bị phải gõ giống hệt nhau.
- Password: Đặt mật khẩu xác thực giữa hai thiết bị.
- Heartbeat Interfaces: Bấm dấu + và chọn cổng dùng để cắm cáp trực tiếp giữa 2 con
- Nhấn OK.
Trên giao diện của ForiGate-02 ta cũng truy cập vào System > HA để cấu hình các thông số tương tự như FortiGate-01, tuy nhiên hãy lưu ý các thông số Device Priority cần nhỏ hơn so với Primary và nhập đúng Group name và Password:
Sau khi cấu hình xong cả 2 thiết bị, con Secondary sẽ tự động khởi động lại, xóa cấu hình hiện tại của nó và kéo toàn bộ cấu hình từ con Primary sang. Từ lúc này, bạn chỉ có thể truy cập GUI vào con Primary.
2. Cấu hình Active-Active (A-A)
Cả hai thiết bị đều hoạt động, nhưng cách FortiGate xử lý hơi khác so với các hãng khác: Primary vẫn nhận toàn bộ gói tin đầu vào, nhưng nó sẽ chia tải các tiến trình quét bảo mật sâu (Antivirus, IPS, Web Filter) sang cho Secondary xử lý giúp để giảm tải CPU.Cách cấu hình:
- Các bước cấu hình giống hệt 100% so với Active-Passive ở trên.
- Bạn chỉ cần đổi mục Mode từ Active-Passive sang Active-Active.
- Lưu ý: Nếu Firewall Policy của bạn không bật các tính năng NGFW (Security Profiles), thì chế độ Active-Active hoạt động không khác gì Active-Passive vì không có tác vụ nào để chia tải.
Thực hiện kiểm thử tính năng dự phòng NGFW
Kiểm tra trạng thái HA:
Kiểm thử khi node chính gặp sự cố:
Tiến hành ping ra internet liên tục và tắt node 1: ta thấy sẽ có 1 gói tin bị rớt khi tắt 1 node firewall
Bài viết liên quan
Bài viết mới