Постоянная безопасность сети с USG FLEX H Series и HA — вопросы и ответы

Высокая доступность (HA) — это технология, обеспечивающая непрерывную работу сети за счёт использования двух идентичных устройств в конфигурации активное/пассивное. В случае отказа активного устройства пассивное устройство автоматически принимает его функции, сводя время простоя к минимуму.

Основные требования для настройки HA

• Идентичные модели устройств: например, два устройства USG FLEX 500H.
• Одинаковая версия прошивки: например, uOS 1.31 или выше.
• Регистрация в одной организации Nebula: оба устройства должны быть зарегистрированы в одной организации в Nebula Control Center.
• Выделенный порт для подключения Heartbeat:
  Обычно последний порт Ethernet на устройстве используется для обмена сигналами Heartbeat между устройствами.

Возможности конфигурации HA

• Подключение Heartbeat: устройства обмениваются сигналами каждые 2 секунды через порт UDP 694.
  Если пассивное устройство пропускает два последовательных сигнала Heartbeat, оно переключается в активный режим.
• Синхронизация конфигурации: все изменения конфигурации на активном устройстве автоматически синхронизируются с пассивным устройством.
  Важно! Не вносите изменения непосредственно на пассивном устройстве.
• Виртуальный MAC-адрес: при переключении ролей используется виртуальный MAC-адрес, чтобы предотвратить проблемы с кэшем ARP в сети.

Управление лицензиями

• Требуется только одна лицензия:
  Все лицензии активного устройства автоматически наследуются пассивным устройством при переключении ролей.
• Как связаться со службой поддержки для переноса лицензии? См. здесь: Как связаться со службой поддержки?

Часто задаваемые вопросы

Как сбросить счётчик переключений HA, чтобы не достичь максимального количества переключений?
Счётчик переключений можно сбросить с помощью команды CLI cmd device-ha failover pause-count clear.

Как получить доступ к пассивному (ведомому) устройству в режиме HA?
Для доступа к пассивному устройству необходимо использовать IP-адрес управления, настроенный во время настройки HA. Доступ к ведомому устройству возможен только через выделенный порт Heartbeat и только по указанному IP-адресу управления.

Поддерживается ли режим HA в режиме Nebula на USG FLEX H с uOS?
Да, HA поддерживается на USG FLEX H с uOS, но не непосредственно через облачный интерфейс Nebula. Оба устройства должны быть зарегистрированы в одной организации Nebula. Однако вся настройка и управление HA выполняются локально через веб-интерфейс устройства. Это называется гибридным режимом — устройство отображается в Nebula для лицензирования и мониторинга, но расширенные функции, такие как HA, настраиваются локально.

Можно ли использовать для HA устройства разных моделей?
Нет. Оба устройства должны быть одной модели и серии, работать под управлением одной версии прошивки и быть зарегистрированы в одной организации Nebula.

Как отключить синхронизацию HA для устранения неполадок?
Чтобы временно отключить синхронизацию HA, перейдите в веб-интерфейсе в раздел System > Device HA > HA Configuration и приостановите HA.

Как проверить состояние синхронизации конфигурации HA?
Чтобы проверить состояние синхронизации между активным и пассивным устройствами, используйте следующую команду CLI:

show state vrf main device-ha _debug sync-info

Будет отображена информация о текущем состоянии синхронизации.

Как принудительно выполнить полную синхронизацию конфигурации HA?
Чтобы вручную запустить полную синхронизацию между устройствами, используйте команду:

cmd device-ha force-sync full

Как разъединить устройства HA и вернуть их в автономный режим?

1. Выполните сброс настроек одного из устройств до заводских (предпочтительно пассивного устройства).
2. Перезагрузите устройство или нажмите кнопку «Resync» в веб-интерфейсе, чтобы обновить состояние в MyZyxel.
3. Устройства вернутся в автономный режим.