הרצאה על FortiGate HA Cluster
פרקי ההרצאה: הרצאה על FortiGate HA Cluster
תמלול ההרצאה: הרצאה על FortiGate HA Cluster
הטקסט המלא של הדקות הראשונות בהרצאה «הרצאה על FortiGate HA Cluster» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, היום אנחנו נלמד על קלאסטר של 40 גייט, מה שנקרא High Availability, איך לחבר שני 40 גייט ביחד, כך שאם אחד נופל, השני עובד במקומו.
יש שם הרבה אפשרויות, נראה ונבין אותן. אנחנו נלמד איך עובד Active Active, קלאסטר של Active Active, אנחנו נלמד איך עובד קלאסטר של Active Passive, וזה הולך להיות שיעור מעניין ומרתק.
בואו נתחיל. קודם כל, חשוב מאוד שתבינו שצריך לשכפל את החיבורים של הכבלים, כן? זאת אומרת שאם יש לי פה חיבור לLAN אחד, אני חייב לחבר עוד LAN.
אם יש לי פה WAN אחד, אני חייב לחבר גם פה WAN אחד. כל חיבור פיזי, כל החיבורים הפיזיים חייבים להיות זהים, כי הקלאסטר הזה יעתיק הגדרות מ-40-gate אחד ל-40-gate שני, וכשהוא יעתיק את כל ההגדרות, החיבורים עצמם צריכים להיות זהים זאת אומרת שבפורט מספר 1 אם יש לך lan אז תחבר גם בשני lan אם בפורט מספר 2 יש לך one אז תחבר one
הכל חייב להיות זהה לחלוטין חוץ מזה שהכבלים עצמם זהים גם החומרה של 40-gate זהה זאת אומרת אם זה 40-gate 200 גם זה חייב להיות 40-gate 200 זאת אומרת החומרה חייב להיות זהה וגם גם הכרטיסים בתוך פורטיגייט, יש פורטיגייט שאפשר להכניס לתוכו כל מיני כרטיסי הרחבה, אז גם כרטיסי הרחבה חייבים להיות זהים. זאת אומרת, הם חייבים להיות זהים לחלוטין.
למה? כי ההגדרות מועתקות מאחד לשני. שינוי באחד מהם מבצע העתקה לשני. אז גם החומרה זהה וגם הגרסה של התוכנה זהה. זאת אומרת שאם נכפוס שנייה לפורטיגייט, אתם יכולים לראות פה אם יש לי גרסה, אני 50 גם בשני חייבת להיות גרסה 50. אחרי שתעשו את הקלאסטר אם אתם מעדכנים גרסה של 40-gate של פימוור שלו זה אוטומטי יעדכן את ה-40-gate השני.
הם מתחילים ממש לעבוד כיחידה אחת. עכשיו אני מספר לכם על ברירות מחדל כן יש כל מיני מקרים מיוחדים ונדבר על זה בהמשך. אבל כברירת מחדל אתם מתחילים לנהל 40-gate אחד ומאחורי הקלעים הוא מנהל שתי יחידות פיזיות.
בגלל זה חיבורי רשת חייבים להיות זהים. גרסת תוכנה חייבת להיות זהה. כל הברזל חייב להיות זהה כי כל ההגדרות מועתקות וכדי שזה יעבוד ולא יעשה לכם הפתעות.
זה חייב להיות זהה, יפה מאוד. אז תכף נגיע לזה איך כל הפאקטים עובדים, נגיע לזה בהמשך, איך כל האקטיב האקטיב עובד, איך האקטיב האקטיב עובד ומה ההבדל, נגיע בהמשך.
זה נושא גדול, כן? הקלאסטר הזה זה נושא גדול והמטרה שלנו פה ללמוד את העיקר יפה בפועל במציאות מחברים ביניהם גם כבל בואו תסתכלו במציאות מחברים ביניהם פה כבל שנקרא הרדביט פעימות לב שדרך הכבל הזה זה לרוב כבל מוצלב ודרך הכבל הזה הוא בודק האם אתה חי או מת עושים פינגים אחד לשני האמת שמחברים אפילו שני כבלים
אז אתם רואים פה בסרטוט השני שלי שלקחתי את זה מאתר של פורטינט אתם יכולים לראות חיברו שני כבלים מוצלבים בין היחידות והם שולחים אחד לשני פינגים דרך כבל אחד ואם כבל אחד מתנתק אז שולחים דרך השני האם אתה חי או מת כן זה פינגים זה נקרא הרדביט hb מסומן כhb עכשיו מה חשוב לדעת שפינגים נשלחים
אך ורק דרך כבל אחד ואם הוא נופל אז דרך הכבל השני אנחנו יכולים לקבוע עדיפות דרך איזה כבל זה ואם יש לנו יותר משני פורטיגייטים תחשבו שעשיתי קלאסטר של 3-4 פורטיגייטים נניח מסיבות של עומס, עוד מעט נגיע אז אני לא יכול לשים כבל מוצלב, אני שם סוויץ' ביניהם
אבל זאת חייבת להיות רשת נפרדת כדי לא להעמיס על הרשת האמיתית אוקיי, זאת חייבת להיות רשת נפרדת ופורטים האלו שפה חייבים להיות ממש פורטים פיזיים אי אפשר לעשות וילאנים או דברים כאלו אז אתם רואים בפורטי גייט הזה הם בחרו להשתמש ב-DMZ ו-1.2 בשביל לחבר HB פעימות לב אוקיי עכשיו בפורטי גייטים
היותר יקרים יש ממש יציאה נפרדת ל-HB אוקיי HB כן אתם הייתי HB הורד ביט פעימות לב לא יצא לי יפה אבל לא חשוב אז עכשיו שימו לב, זה ראוטר של הספק אינטרנט, נניח ספק אינטרנט נתן לנו ראוטר, אז אנחנו שמים סוויץ' ומחברים אותו ספק לשני מקומות בו זמנית, לשני סוויצ'ים.
יש ספקי אינטרנט שנותנים לכם ראוטר שיש פה מאחור הסוויץ' אפילו, ואתם יכולים ישירות מהראוטר להוציא כבל לפה ולהוציא כבל לכאן, אוקיי?
העיקר שאם זה one אחד, אז גם פה זה חייב להיות one אחד. הבנתם יפה מאוד אז משכפלים חומרה משכפלים כבלים משכפלים יציאות עושים גרסת תוכנה זהה הכל חייב להיות זהה לחלוטין והם צריכים לעבוד כיחידה אחת בואו ניכנס לתוך ההגדרות של 40 גייט ונראה קצת בפנים אחרי שהבנתם את כל העקרונות הבסיס
נגיע לזה בהמשך זה ממש זה השכלול שלו מה ההבדל בין זה לזה בואו תסתכלו פה אתם רואים סוויץ' אחד אם סוויץ' הזה נופל הכל נופל כן אז יש פה full mesh, זה נקרא כולם עם כולם, full mesh.
אז כשיש לנו שני סוויצ'ים פה ושני סוויצ'ים פה. זאת אומרת, אני בכל יציאה שם שני סוויצ'ים. זה נקרא full mesh, ובשביל זה צריך לעשות redundancy interface.
נגיע לזה טיפה בהמשך. בואו נתחיל מתסריט פשוט. הגדרה של סוויץ' אחד ויציאה והגדרות כאלו בסיסיות. אחרי זה אני אספר לכם איך לעשות דבר כזה, ואיך עובדים כל הנושא של הפאקטים.
בואו נתחיל. אז יש לי פה 40-gate שרץ על מכונה וירטואלית, לא רציתי ככה לגעת ב-40-gate האמיתי שיש לי פה.
אז הרמתי פה מכונה וירטואלית של 40-gate, ואני מראה לכם הכל על ה-40-gate הווירטואלי הזה. אוקיי? יפה.
אז בואו תראו. מתחילים מזה שכדאי לשנות את השם של 40-gate. זו המלצה שלהם. במקום שיהיה לנו שם כזה עם מספר סריאלי, יש לי שבועיים רישיון חינם למכונה וירטואלית, כן?
אחרי שבועיים צריך להתקין מחדש את המכונה הווירטואלית הזאת. אז הסריאלי שלי הוא כזה דבר, של הלייסנס החינמי, אני מחליף לו שם וקורא לו, נניח שזה יהיה פריימרי 40. כן, הנה, פריימרי 40. אני אקרא לו פריימרי 40. למה זה חשוב?
כדי שאנחנו נדע בעצמנו לזהות זה שלמעלה, זה שלמטה, או כל מיני כאלו שמות שיעזרו לנו לזהות על איזה פורטים מדובר. יפה, זה לא חובה, זה מאוד מומלץ.
טוב, בואו נגיע לפה, לקונפיג, לhigh availability. מה אנחנו רואים? אנחנו רואים קודם כל בhigh availability, שזה הקלאסטר, שיש לנו שלושה מצבים, stand alone, active-passive ו-active-active.
עוד דקה נדבר מה ההבדל בין active-passive ל-active-active, בגדול active-active שתי יחידות עובדות במקביל ו-active-passive אחת עובדת והשנייה נמצאת מוכנה לעבודה אבל היא לא באמת עובדת. היא מקבלת את כל ההגדרות, יש לה את כל ההגדרות, היא מוכנה להיכנס לפעולה אבל היא לא מאבדת מידע, היא לא עושה עיבוד מידע אמיתי, אוקיי?
המאבד שלה והזיכרון שלה עומדים על אפס. אקטיב אקטיב אומר דבר כזה שהיחידה הראשית מקבלת את הפאקט, אתם רואים? יחידה הראשית שזה במקרה הזה זה יחידה הראשית, היא קיבלה תפקיד של יחידה ראשית, אני קובע מי תהיה יחידה ראשית, דרך אגב, לפי הפריוריטי שאני עושה.
אם אני אעביר פה לאקטיב אקטיב, אני יכול להגיד פה device priority. מי שיותר גבוה מבין השניים מקבל עדיפות להיות הראשי. ככה אני משפיע מי יהיה הראשי.
אני אאחזה מ-28 והשני, נניח אני רוצה שזה יהיה הראשי, אז אני אעשה לו, לא יודע, 200. המספר הזה נותן עדיפות למי נהיה יחידה ראשית.
יחידה ראשית מקבלת את הפאקט מהקליינט. מקבלת את הפאקט מהקליינט. שימו לב, היא מקבלת את זה ל-MAC וירטואלי, ואני גם אראה לכם את ה-MAC הווירטואלי הזה. זאת אומרת שברגע שאני אגדיר קלאסטר, כתובת ה-MAC שהלקוחות שלי יקבלו תהיה לא הכתובת ה-MAC הפיזית שיש לי עכשיו, אלא כתובת-MAC וירטואלית. למה זה חשוב שתהיה כתובת-MAC וירטואלית?
שאם היחידה הראשית נופלת וזאת תופסת את הפיקוד, כן, היחידה השנייה הפיזית תופסת את הפיקוד, שהלקוחות לא ימשיכו לשלוח פאקטים לכתובת Mac לא קיימת.
תחשבו שלקוחות לא יודעים שהיחידה הראשית נפלה, יש להם קש של ארפ, כן, הם זוכרים ארפ ישן. תסתכלו, כל לקוח על כל default gateway שלו זוכר את הארפ, זוכר את הארפ.
אתם רואים אצלי בבית, זה ה-Mac של default gateway. נניח שה-default gateway הזה נופל, כי התחנה שלי לא יודעת שהוא נפל ומישהו אחר עלה במקומו באותה כתובת IP.
אפילו שזו אותה כתובת IP, התחנה שלי תמשיך לשלוח פאקטים ל-MAC אדרס הזה. וה-MAC אדרס הזה כבר נפל ומת. ויש-MAC אדרס חדש, אבל היא לא יודעת על זה. בשביל שהדבר הזה לא יתקע את כל הרשת, לוקחים ועושים-MAC וירטואלי, שברגע...-MAC וירטואלי הוא נראה אותו דבר, כן? אתם לא מרגישים הבדל, אתם חושבים שזה-MAC רגיל.
אבל מה? ברגע שהיחידה הראשית נופלת, אותו מאק בדיוק, המאק הווירטואלי הזה נשאר אותו דבר, פשוט היחידה השנייה מתחילה לענות לשאילתות שלו.
מי ששולח פאקט, היא מתחילה להגיב. הבנתם? אילו לא היה מאק וירטואלי, נניח בתיאוריה שאין לנו מאק וירטואלי, אז יש לנו יחידה שנייה שעובדת עם אותו ה-IP, אבל המאק שלה שונה, וברגע שהכתובת המאק הפיזית שלה שונה, התחנות לא יודעות את זה, התחנות ממשיכות לשלוח
את זה למאק אחר הישן שנפל והיחידה שעלתה מתעלמת מהפאקטים כי הכרטיס רשת שלה מתעלם מהפאקטים. בקיצור, רוצים שהתחנה לא תרגיש כלום. איך תחנה לא מרגישה כלום? תחנה יודעת שלושה דברים IP, מאק וב-TCP יודעת איזה סשן רץ אצלה, אוקיי?
מספר סידורי של סשן. כדי שהתחנה לא תרגיש כלום אנחנו צריכים לזייף IP ומאק שיהיה זהה לחלוטין וגם את כל הנושא של ניהול סשן, על זה נדבר בהמשך.
אז IP ומאק וירטואליים זה נקרא IP ומאק של קלאסטר, וברגע שהתחנה נופלת, ברגע שאין פינג, השני מתחיל לענות. יופי.
אז איך עובד Active-Active, כן? איך עובד קלאסטר של Active-Active? התחנה עולה לאוויר, מבקשת כתובת מאק של דיפול גטוויי, זה היה דיפול גטוויי שהגיע לה מ-DHCP, שרת DHCP נתן לדיפול גטוויי, היא זרקה בקשת ארפ ברשת, קיבלה כתובת מאק וירטואלית.
שהיא חושבת שזה רגיל, היא לא יודעת שזה וירטואלי. זה כאילו, זה נראה לה רגיל. אוקיי, היא שולחת פאקט ליחידת פריימרי. כי היא זאתי שאחראית על מאק הווירטואלי. שימו לב, לא יכול להיות שהמאק הווירטואלי בשני מקומות במקביל, זה לא יכול להיות.
מאק הווירטואלי הזה משוייך עדיין רק ליחידה אחת. יופי. אז הפאקט מגיע ליחידה הראשית, לפריימרי. פריימרי מחליט, אנחנו באקטיב אקטיב, פריימרי מחליט האם הוא הולך לטפל בזה, בכל הסשן הזה, או שהוא מעביר את זה ליחידה אחרת, שפחות עמוסה.
אם הוא מחליט לטפל לבד, אז הוא מוציא פאקט לבד, זאת לא בעיה. אבל אם הוא מחליט שהוא לא הולך לטפל בסשן הזה, כי הוא כבר עמוס במעבד וזיכרון, ואתם יודעים כן שיש פה מעבד וזיכרון, בפורטי פה למעלה, אתם רואים בסטטוס שלו, מעבד וזיכרון.
אז אם הוא רואה שהוא עמוס במעבד וזיכרון ויחידה שנייה פנויה, אז באקטיב אקטיב הוא מעביר את הפאקט, שולח את הפאקט הזה מחדש עם מאק האמיתי של התחנה, עם המאק האמיתי של יחידה שנייה. היחידה השנייה מקבלת פאקט אליה, עם המאק האמיתי שלה היא
רואה שזה הגיע מיחידה הראשית, מתחילה לטפל מה זה לטפל נניח זה סשן והיא צריכה לבדוק שאין וירוס בקובץ וקובץ גדול אז היא מתחילה לאסוף את כל החלקים של הקובץ לפתוח את הzip אם צריך קובץ זיפי פותחת קובץ זיפי אם צריך ובודקת שאין וירוס אוקיי כל זה דורש מעבד מקום זיכרון כוח עיבוד כל זה היא מבצעת אז אחרי שהגיע פאקט יחידה ראשית החליטה שלהעביר את זה ליחידה שנייה,
ארזה את זה מחדש עם המאק החדש, שימו לב, שינתה מאק, שלחה את זה ליחידה שנייה, וזה החיסרון של זה, שזה מעמיס על הסוויץ', אתם רואים?
זה עבר פעמיים בסוויץ', פעם אחת נכנס בסוויץ', פעם שנייה עבר ליחידה שנייה, וזה חיסרון גדול של אקטיב אקטיב.
והיתרון הגדול של אקטיב אקטיב, שזה מפנה כוח עיבוד. נניח אם יש לנו הרבה ניתוחי פאקטים, אז זה מפנה את כוח עיבוד, כן, כי יש פה עוד מעבד ועוד זיכרון.
אז היתרון של אקטיב אקטיב, היתרון של אקטיב אקטיב שיש לנו עוד מעבד, עוד זיכרון של היחידה השנייה עובד ולא מתבזבז, אבל החיסרון של זה שהפאקט עבר פעם אחת ליחידה הראשית, וכל פאקט נוסע עוד פעם ליחידה השנייה, זה הקו המקווקו וזה מעמיס קצת על הסוויץ'.
אחרי שיחידה שנייה טיפלה בפאקט, היא מוציאה אותו החוצה לספק האינטרנט, כן? שולחת את זה, אורזת את זה עם המאק ורגיל, כאילו, שולחת על קו one רגיל, כן?
מוציאה הפאקט החוצה. עכשיו שימו לב, כשהיא מוציאה פאקט, נניח היא מוציאה אותו מ-one אחד, וב-one אחד יש פה סוויץ', כן?
שימו לב, היא מוציאה אותו פה ב-one אחד וזה מגיע לראוטר. ראוטר, מבחינתו, פה כתובת IP ופה כתובת IP, היא אותה כתובת IP, שימו לב זה כתובת IP זהה כי ספק אינטרנט נתן לי רק כתובת אחת אז היא זהה גם פה וגם פה זה אותה כתובת אז ברגע שספק האינטרנט אומר טוב הגיעה לי פנייה אני מחזיר חזרה תשובה
זה הגיע לשרת שרת מחזיר תשובה הוא מחזיר תשובה למאק הווירטואלי עוד פעם התשובה חוזרת למאק הווירטואלי והמאק הווירטואלי הזה מאותן סיבות שדיברנו לפני כן זאת אומרת מאק ווירטואלי גם בכניסה וגם ביציאה עוד פעם מחזיר את הפאקט ליחידה השנייה, עוד פעם מעמיס על הסוויץ' השני, היחידה השנייה עושה עיבוד נתונים ומשחררת את הפאקט ללאן.
יש? יש. יופי. יפה מאוד. אז תראו, אין בעיה בזה שהפאקט יוצא עם המאק של היחידה השנייה האמיתי, כן?
אין בעיה שפאקטים כביכול נכנסו עם מאק אחד ויצאו עם מאק אחר, אין שום בעיה עם זה. כן? יפה מאוד. פשוט מאק בכניסה חייב להיות רק אחד, אבל ביציע אין שום בעיה שיש מאקים שונים, זה לא מפריע, התחנה לא מעניין אותה מאיזה מאק זה הגיע בעצם, היא לא בודקת את הסורס של המאק.
הבנתם? עכשיו, ברגע שיש נפילה, מה קורה? ברגע שיש לנו נפילה, מה קורה? המאק הווירטואלי הזה כולו, כולו, כל המאק הזה, כמו שהוא, נוסע ועובר ליחידה שנייה אם היא מתחילה לטפל בו.
יופי. אני מקווה שהבנתם את הרעיון אני אסכם לכם בקצרה כל הפאקטים תמיד מגיעים ליחידה הראשית אם צריך כוח עיבוד מועברים ליחידה השנייה היחידה השנייה משחררת אותם החוצה אחרי בדיקה ובכניסה חזרה גם כן הכל נכנס למאקה וירטואלי שיחידה ראשית מנהלת וזה עובר ליחידה שנייה יתרון של אקטיב אקטיב
שימוש בכל המעבדים והזיכרונות והם לא מתבזבזים לנו זה היתרון החיסרון שזה מעמיס כביכול על הסוויץ', זה מעמיס על הסוויץ' כי כל פאקט עובר פעמיים.
זהו, זה כל מה שאתם צריכים לדעת, ככה בתיאוריה, כן? מה ש... כל זה כתוב פה במסמך הזה, פשוט אני חסכתי לכם, אני חושב, 254 עמודים של קריאה.
כן, אני קראתי את כל ה... אני אוהב לקרוא הרבה, אז קראתי את כל העמודים, ואני מתמצת לכם את כל הדברים העיקריים מתוך המסמך.
יפה מאוד. בואו נגדיר את זה, בואו נתחיל להגדיר, בואו נתקרב קצת שיהיה לנו ככה מסך גדול אז אנחנו בוחרים האם זה יהיה stand alone, n-cluster, האם זה active-passive או שזה active-active אתם בטח מתלהבים על active-active, נעשה active-active הלאה, device priority, מה העדיפות של התקן הזה הספציפי
ככל ש-device priority יותר גבוה, כך יש יותר סיכוי שההתקן הזה יהיה זה שינהל את התקשורת, את המאק הווירטואלי והשני יהיה ככה נשלט השולט והנשלט אז נשאיר את זה נניח מ-28 הלאה ה-v הזה reserve management port for cluster member אני יכול להגיד תקשיב אני רוצה יכולת להתחבר ליחידה הזאת בנפרד לא כחלק מהקלאסטר שהכל משתכפל
לכולם אני רוצה לתת להגדרות אישיות בעתיד לדוגמה snmp אני רוצה לנהל את היחידה הזאתי לנטר אותה לנטר אותה עם תוכנה אחרת לבדוק שהיא חיה, מתה, מה קורה איתה לאסוף ממנה נתונים עם פרוטוקול SNMP. עכשיו אם אני אתן לזה הגדרות SNMP שלא יהיו זהות בין היחידות כי אני רוצה לדעת שהיחידה הראשונה חיה והיחידה השנייה חיה
אני צריך הגדרות אישיות לכל התקן פיזי אז בעצם כאן אני אומר תקשיב פורט מספר 10 אצלי כן פורט מספר 10 אצלי תשאיר אותו באופן מיוחד לניהול פרטי שלו. זאת אומרת, דרך פורט מספר 10 אני מתחבר למנג'מנט של חבר אחד בקלאסטר.
אוקיי? מנג'מנט לחבר אחד בקלאסטר. אוקיי, יפה מאוד. אם אתם, אתם יכולים לשנות כל מיני הגדרות. בואו, אני אמצא לכם את זה פה.
הנה, יפה. אתם רואים פה דוגמה לדוגמה. יש פה שירתות יפה של ניהול ב-SNMP. אז מה שהם עושים, הם נותנים לו קלאסטר. אתם רואים קלאסטר, כתובת של הקלאסטר.
תקלו שנייה. זאת כתובת של הקלאסטר היא 100 וגם פה היא 100 כי זאת הכתובת של IP של הקלאסטר וחוץ מזה הם רוצים ב-SNMP לנטר את שתי היחידות אז היחידה הזאת מקבלת כתובת אישית של 101 וזאת מקבלת כתובת אישית של 102 יפה מאוד אז אני יכול דרך SNMP לנטר את שתיהם דרך פורט 8 ודוגמה שלהם אתם רואים ביציאה גם כן אותה כתובת IP
ביציאה יופי יופי אז זה להגיד שפורט מספר 10 לא משחק במשחק הזה של קלאסטר, נועד לניהול בלבד, אוקיי?
לרוב גם שמים וילאן נפרד לטובת ניהול, כדי שאיזה יוזר חכם במיוחד לא יתחיל לנסות להתחבר לכם לתוך פורטיגייט ולנהל אותו, אז שמים את כל הפורטים של ניהול בווילאן פיזי נפרד, כביכול ברשת נפרדת.
יופי. הלאה, פה אני אומר האם אני רוצה שם של קלאסטר, נניח אני אומר לו, לא יודע, קלאסטר אחד או 40-gate availability אחד.
יכולים להיות כמה קלאסטרים, כן? יכולים להיות כמה קלאסטרים. כרגע אנחנו נתעסק באחד. אז אותו התקן יכול להשתתף בכמה קלאסטרים, כן?
עכשיו, סיסמה לקלאסטר. לכל קלאסטר יש סיסמה, 1, 2, 3, 4 במקרה שלי. למה זה חשוב? למקרה שאני לוקח עוד 40-gate אחד ואני מצרף אותו לקלאסטר, אני חייב לתת לו את השם הזה ואת ה-IP הזה, ויש גם מספר סידורי של קלאסטר שאנחנו לא רואים אותו פה, אנחנו רואים אותו רק ב-CLI של פקודות.
יופי. הלאה, ה-V הזה אומר האם לסנכרן את ה-TCP,