FortiGate Yüksek Erişilebilirlik (HA) Yapılandırması Rehberi

FortiGate HA (yüksek erişilebilirlik), iki veya daha fazla cihazı bir küme olarak çalıştırarak tek cihaz arızasında hizmetin kesintisiz sürmesini sağlar. FGCP protokolüyle yapılandırma ve oturumlar senkronize edilir; arıza anında yedek cihaz devreye girer.

HA Nedir ve Hangi Modlar Vardır?

HA (High Availability), birden çok FortiGate'i tek mantıksal güvenlik duvarı gibi çalıştıran kümeleme yaklaşımıdır; başlıca iki mod vardır: active-passive (yük devretmeli) ve active-active (yük paylaşımlı).

Active-passive modda bir cihaz birincil (primary) olarak trafiği işler, diğeri yedek (secondary) olarak senkronize halde bekler. Birincil arızalanınca yedek, saniyeler içinde devralır. Bu mod öngörülebilirliği ve sadeliği nedeniyle en yaygın seçimdir.

Active-active modda ise küme üyeleri arasında özellikle UTM tarama yükü dağıtılarak verim artırılır. Trafik yönetimi daha karmaşıktır ve her senaryoya uygun olmayabilir.

HA kurmadan önce her iki cihazın temel kurulumunun tamamlanmış olması gerekir; bkz. FortiGate kurulumu ve ilk yapılandırma rehberi.

FGCP Kümeleme ve Senkronizasyon

FGCP (FortiGate Clustering Protocol), küme üyeleri arasında yapılandırmayı ve oturum tablosunu senkronize eden, birincil cihazı seçen ve heartbeat ile sağlık durumunu izleyen protokoldür.

FGCP, bir küme oluştururken üyeler arasında öncelik (priority), seri numarası ve override ayarlarına göre birincil cihazı belirler. Yapılandırma değişiklikleri otomatik olarak diğer üyeye kopyalanır; böylece her iki cihaz aynı kuralları taşır.

Oturum senkronizasyonu açıksa, mevcut oturumlar failover sırasında korunur ve kullanıcılar kopmadan devam eder. Heartbeat arayüzleri, üyelerin birbirinin canlılığını sürekli kontrol etmesini sağlar; en az iki heartbeat bağlantısı önerilir.

HA Kümesinin Kurulması

HA kurulumu; iki özdeş cihazın aynı firmware'e getirilmesi, HA modunun ve grup adının ayarlanması, heartbeat arayüzlerinin tanımlanması ve cihazların fiziksel bağlanmasıyla yapılır.

Her iki cihazın aynı model ve aynı FortiOS sürümünde olduğundan emin olun. System > HA altında modu (active-passive) seçin, bir grup adı ve grup şifresi belirleyin, heartbeat arayüzlerini ve önceliği ayarlayın.

Heartbeat arayüzlerini doğrudan (veya ayrılmış bir switch üzerinden) birbirine bağlayın. Yapılandırma kaydedildiğinde FGCP, cihazları otomatik olarak bir küme halinde birleştirir ve senkronizasyonu başlatır.

• Her iki cihazı aynı firmware sürümüne getirin.
• HA modu, grup adı ve şifresini ayarlayın.
• En az iki heartbeat arayüzü tanımlayın.
• Öncelik ve gerekirse override değerlerini belirleyin.
• Senkronizasyon ve küme durumunu doğrulayın.

Failover, İzleme ve Link Monitoring

Failover, birincil cihaz veya izlenen bir bağlantı arızalandığında yedek cihazın devralmasıdır; link monitoring ile kritik arayüzlerin durumu da failover tetikleyici olarak kullanılır.

Yalnızca cihaz arızası değil, izlenen bir WAN/LAN bağlantısının kopması da failover tetikleyebilir. Monitored interfaces (link monitoring) tanımlayarak, kritik bir uplink koptuğunda kümenin sağlıklı üyeye geçmesini sağlayın.

Failover süresini ve davranışını test ortamında doğrulayın. Override etkinse, tercih edilen cihaz onarıldığında tekrar birincil olur; bu, kasıtlı bir 'preempt' davranışı gerektiğinde kullanılır ancak gereksiz failover'lara da yol açabilir.

Failover testlerini ve performans etkisini değerlendirmek için performans optimizasyonu ve en iyi pratikler rehberimize göz atın.

HA'da En İyi Pratikler

En iyi pratikler; özdeş donanım/firmware kullanmak, yedekli heartbeat bağlantıları kurmak, failover senaryolarını test etmek ve küme durumunu sürekli izlemektir.

Küme üyelerini her zaman aynı modelde ve aynı firmware sürümünde tutun; uyumsuzluk senkronizasyon hatalarına yol açar. Heartbeat için tek nokta arızasını önlemek üzere en az iki bağlantı kullanın.

Küme sağlığını ve failover olaylarını merkezi izlemek için FortiAnalyzer ile loglama ve izleme yazımıza, genel mimari için FortiGate nedir rehberine bakın.

Sık Sorulan Sorular

Active-passive ve active-active arasındaki fark nedir?

Active-passive modda bir cihaz trafiği işler, diğeri yedekte bekler ve arızada devralır. Active-active modda ise tarama yükü üyeler arasında dağıtılarak verim artırılır, ancak yönetim daha karmaşıktır.

HA için iki cihaz aynı mı olmalı?

Evet. Sağlıklı bir FGCP kümesi için cihazların aynı model, aynı firmware sürümü ve uyumlu lisanslara sahip olması gerekir. Farklılıklar senkronizasyon ve failover sorunlarına yol açar.

Heartbeat arayüzü nedir?

Heartbeat, küme üyelerinin birbirinin canlılığını izlediği ve yapılandırma/oturum senkronizasyonunu taşıdığı ayrılmış bir bağlantıdır. Tek nokta arızasını önlemek için en az iki heartbeat önerilir.

Failover sırasında oturumlar kopar mı?

Oturum senkronizasyonu etkinse mevcut oturumlar büyük ölçüde korunur ve kullanıcılar kesintiyi çoğu zaman fark etmez. Senkronizasyon kapalıysa oturumların yeniden kurulması gerekebilir.

Link monitoring ne işe yarar?

İzlenen bir kritik arayüz (örneğin WAN uplink) koparsa, link monitoring kümenin sağlıklı üyeye geçmesini tetikler. Böylece yalnızca cihaz değil, bağlantı arızalarına karşı da koruma sağlanır.

Override kullanmalı mıyım?

Override, tercih edilen cihazın onarıldığında tekrar birincil olmasını zorlar. Belirli bir cihazın birincil kalması gerekiyorsa yararlıdır, ancak gereksiz failover'lara yol açabileceğinden dikkatli kullanılmalıdır.

Sonuç

FortiGate HA, kritik ağ güvenliği hizmetlerinin tek cihaz arızasında bile kesintisiz sürmesini sağlar. Özdeş donanım, yedekli heartbeat, oturum senkronizasyonu ve test edilmiş failover senaryolarıyla küme gerçek bir dayanıklılık sunar.

Yüksek erişilebilirlik mimarinizi tasarlamak ve failover testlerini yürütmek için Sora Yazılım ağ ekibiyle görüşebilirsiniz.