2つのFortigateの分散クラスター

最近、フォールトトレラントネットワークインフラストラクチャを構築するためのクライアントとのプロジェクトを完了しました。 思い出が生きている限り-そしてドキュメントが手元にある限り、私はユニークなノウハウを共有したいと思います。 ユニークなものは何ですか？ そのような構成がフォーティネットの公式ドキュメントのどこにも記載されていないという事実は推奨されておらず、一般に公式には存在しません。 また、そのような構成についての言及はインターネット上で見つかりませんでした。



だから、私たちが利用できるもの：

スペースで区切られた2つのプラットフォーム、オフィスとデータセンター（DC）。 各サイトは、インターネットおよびローカルサブネットに独立してアクセスできます。 サイト間には、独自のVLANを作成できる専用接続があります。 機器には、2つのFortigate 100Dとスタッキングモジュールを備えた4つのマネージドCisco Catalyst 2960XRスイッチがあります。 つまり サイトごとに2つのスイッチと1つのfortigate。



チャレンジ：

耐障害性と通信の継続性を提供する

1）鉄片が故障した場合。

2）通信チャネルのいずれかが落ちた場合。

3）いずれかの腺のいずれかのポートに障害が発生した場合



サイトごとに2つのfortigatesがあれば（まったく問題はありません）、各サイトに2つのfortigateの標準クラスターを設定し、動的ルーティングを行い、人生を楽しみます。 しかし、機器には私たちが持っているものがあるので、空腹にならなければなりません。



機器の最初はさらに少なく、サイトごとに1つのスイッチと1つのfortigateがありましたが、この記事では最終構成について説明します。



それでは始めましょう：



SW1とFG1をオフィス内のスイッチのスタックとし、オフィス内で強化します。 SW2およびFG2-データセンター内の同様の鉄片。



すべてを正しく構成するには、各fortigateに5つの論理ポートが必要です（5論理= 10物理）。 それらを次のように示します。

• Office_Internet
• DC_Internet
• Office_lan
• DC_Lan
• 相互接続

また、両方のHAポートを使用してクラスターの同期を確保します。これにより、スイッチで使用されるポートにさらに2つのポートが追加されます。 合計で、各物理スイッチの6ポート（またはスイッチのスタックごとに12ポート）は、防御策の接続にのみ使用されます。



レイヤー1構成（物理接続）：

スイッチのスタックはすでに組み立てられていると思います、tk。 そこに困難はありません。

次のスキームに従って、Fortigatesをスイッチに接続します。



DC_Internetの場合

FG1-WAN1 - SW1-1/0/1 FG1-WAN2 - SW1-2/0/1
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

Office_Internetの場合

 FG1-DMZ - SW1-1/0/2 FG1-Port1 - SW1-2/0/2
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

Office_Lanの場合

 FG1-DMZ - SW1-1/0/3 FG1-Port1 - SW1-2/0/3
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

DC_Lanの場合

 FG1-Port2 - SW1-1/0/4 FG1-Port3 - SW1-2/0/4
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

相互接続用

 FG1-Port4 - SW1-1/0/5 FG1-Port5 - SW1-2/0/5
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

HA1およびHA2の場合

 FG1-HA1 - SW1-1/0/6 FG1-HA2 - SW1-2/0/6
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

FG2とSW2についても同様に操作を繰り返します。



次に、プロバイダーからのリンクをスイッチに固定する必要があります。 私の場合、これらはそれぞれ2つのインターネット接続とDCとオフィス間のチャネルであり、2つのサイト間で構成がわずかに異なります。 繰り返しますが、私の特定のケースでは、プロバイダーはインターネットへの2つのリンクと、両側の相互接続用の2つのリンクを提供しました。



各チャネルに2つのリンクを取得できない場合-要件の1つが部分的に満たされないままになります-プロバイダーからのリンクが接続されているスイッチでポートが終了すると、接続が失われます。



ここでは、ダウンリンクをオフィスとDCのアクセススイッチに接続します。



オフィスで接続します：

 SW1-1/0/22 -   Office_LAN  1 SW1-2/0/22 -   Office_LAN  2 SW1-1/0/23 -       1 SW1-2/0/23 -       2 SW1-1/0/24 -  -  1 SW1-2/0/24 -  -  2
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

DCで接続します。

 SW1-1/0/22 -   DC_LAN  1 SW1-2/0/22 -   DC_LAN  2 SW2-1/0/23 -       1 SW2-2/0/23 -       2 SW2-1/0/24 -  -  1 SW2-2/0/24 -  -  2
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

レイヤー1が完了したら、ポートアグリゲーションとVLAN構成に進むことができます。



レイヤー2

この段階で、スイッチとFortigatesにポートのペアを設定し、トラフィックを区別するためにVLANを割り当てる必要があります。



-スイッチで必要なVLANを作成し、それらにポートを割り当てます。



設定モードのスイッチでは、必要なVLANを作成します

 vlan 10 name DC_Internet vlan 20 name Office_Internet vlan 30 name Office_Lan vlan 40 name DC_LAN vlan 50 name Interconnect vlan 60 name HA
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

スイッチで、ポートチャネルを作成し、ポートをポートに割り当てます。



DC_Internetの場合：

 Interface port-channel1 switchport access vlan 10 # VLAN 10 = DC_Internet switchport mode access Interface GigabitEthernet1/0/1 switchport access vlan 10 switchport mode access channel-group 1 mode passive Interface GigabitEthernet2/0/1 switchport access vlan 10 switchport mode access channel-group 1 mode passive
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

上記のポートペアに対して繰り返し、ポートチャネル2〜4を取得します。



相互接続の場合：

 Interface port-channel5 switchport access vlan 50 switchport mode access Interface GigabitEthernet1/0/5 switchport access vlan 50 switchport mode access channel-group 5 mode passive Interface GigabitEthernet2/0/5 switchport access vlan 50 switchport mode access channel-group 5 mode passive
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

HA1とHA2のわずかに異なる構成 ポート集約はありません

HA1の場合

 Interface GigabitEthernet1/0/6 switchport access vlan 60 # Vlan 60 = HA switchport mode access
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

HA2の場合

 Interface GigabitEthernet2/0/6 switchport access vlan 60 # Vlan 60 = HA switchport mode access
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

Office-DCチャネルの場合：

 Interface port-channel6 switchport mode trunk # !!! Trunk Interface GigabitEthernet1/0/24 switchport mode trunk channel-group 6 mode passive Interface GigabitEthernet2/0/24 switchport mode trunk channel-group 6 mode passive
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

上記のLayer2の構成は、オフィスとDCで同じです。構成の異なる部分を以下に示します。



オフィスで：

 Interface port-channel7 switchport access vlan 30 # VLAN 30 = Office_Lan switchport mode access Interface GigabitEthernet1/0/22 switchport access vlan 30 switchport mode access channel-group 7 mode passive Interface GigabitEthernet2/0/22 switchport access vlan 30 switchport mode access channel-group 7 mode passive Interface port-channel8 switchport access vlan 20 # VLAN 20 = Office_Internet switchport mode access Interface GigabitEthernet1/0/23 switchport access vlan 20 switchport mode access channel-group 8 mode passive Interface GigabitEthernet2/0/23 switchport access vlan 20 switchport mode access channel-group 8 mode passive
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

DCの場合：

 Interface port-channel7 switchport access vlan 40 # VLAN 40 = DC_Lan switchport mode access Interface GigabitEthernet1/0/22 switchport access vlan 40 switchport mode access channel-group 7 mode passive Interface GigabitEthernet2/0/22 switchport access vlan 40 switchport mode access channel-group 7 mode passive Interface port-channel8 switchport access vlan 10 # VLAN 10 = DC_Internet switchport mode access Interface GigabitEthernet1/0/23 switchport access vlan 10 switchport mode access channel-group 8 mode passive Interface GigabitEthernet2/0/23 switchport access vlan 10 switchport mode access channel-group 8 mode passive
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

要塞の側から：



1. VDOMサポートを有効にする

2.仮想クラスターのサポートを構成する

3.ポートを分散-それぞれ独自のVDOMに

4. Port Aggregation 802.3adポートのペアを作成します



これはコードのように見えます：





これはレイヤー2のすべてです。 レイヤー3+に進みます。 ここで必要なのは：



-行進を有効にする

-ルーティングモニタリングの設定

-ファイアウォールルールを構成する

-オフィスとデータセンター間でチャネルがドロップした場合にVPNを構成する



スイッチで何もする必要はありません。 フォルティガイト（クラスターのセットアップ後-鉄片を制御します）：





これで、インターネットチャネルが落ちた場合、インターネットへの静的ルートが削除され、行進がofficer-dtsチャネルを介してアクティブになります。チャネルが復旧した場合、すべてが元どおりに戻ります。



ファイアウォールルールを作成することは残っています（自分でこれをマスターしたいと思っています）。 同じトラフィックが異なるインターフェース（インターネットまたは相互接続）から来る可能性があることを覚えておく必要があります。



また、DC-オフィスチャネルがドロップした場合にサイトを接続するVPN接続を作成します。





そして、対応するファイアウォールルール：



その結果、office-dtsチャネルが低下した場合にのみVPNが上昇します。



結果として得られたもの：



1.ポートを集約することで、1つのポートまたはスイッチ全体の落下から保護されます（プロバイダーからの1本のワイヤのあるチャネルを除く）。



2.仮想防御クラスターはネットワークのルーターとして機能し、通常の状況では、オフィスの防御は常にネットワークゾーンのパケットを転送し、DCの防御は独自のパケットを転送します。 要塞の1つが落ちた場合、すべてのトラフィックは2番目の要塞によってルーティングされます。



3.インターネットチャネルの1つが落ちた場合、すべてのトラフィックは別のチャネルを通過し、インターネットへのチャネルが増加するとすぐに戻ります。



4. office-dtsチャネルが低下すると、トラフィックは自動的に上昇するVPNを通過し、チャネルが復元されるまで通過します。



それは多くのことが判明し、おそらく一見すると難しいでしょう-しかし、質問があれば、私はそれらに答える準備ができています。