FortiGate High Availability HA

Las soluciones de FortiGate High Availability HA son de gran importancia para los firewalls. Y para ello existen dos soluciones: VRRO y HA.

En este artículo, compararemos ambas y te describiremos sus pros y sus contras. Así, tú sabrás cuál elegir para tu empresa.

La interrupción de la red puede constarle a una empresa miles de dólares. Y en caso de que tu firewall deje de funcionar, las conexiones WAN no te ayudarán mucho.

Por eso, contar con dos dispositivos de red es una buena idea. Así, la unidad puede tomar el relevo si la primera falla.

Es por ello que se inventaron los protocolos FHRP y VRRP.

VRRP: protocolo de redundancia de enrutador virtual

¿Cuál es su historia de VRRP?

VRRP se desarrolló como una respuesta no específica del proveedor al protocolo HSRP patentado de Cisco. Estos protocolos funcionan bajo los mismos principios.

Excepto que puede usar VRRP entre dos proveedores diferentes. Mientras que con HSRP debes optar por Cisco.

¿Qué es VRRP?

VRRP utiliza el concepto de dirección IP virtual y dirección MAC compartida por dispositivos maestros y esclavos.

La unidad maestra usará la dirección IP virtual como su dirección IP de interfaz. Pero si falla, la unidad que opera en modo esclavo tomará su lugar, convirtiéndose en la maestra. Y usando la misma dirección IP virtual.

VRRP se configura creando un grupo VRRP con dos o más FortiGates.

Con VRRP, un dispositivo puede ser un firewall FortiGate. Pero el otro dispositivo puede ser un enrutador simple (que, por supuesto, admite VRRP).

Además de todo esto, puede configurar VRRP para equilibrar la carga del tráfico entre los participantes de VRRP. De esa manera, no tendrá miembros del grupo VRRP sentados sin hacer nada.

Operaciones VRRP

Como la mayoría de los protocolos de red, VRRP utiliza anuncios que se envían regularmente entre los participantes.

Hay dos tipos de anuncios: paquetes de saludo y de intervalo muerto. FortiGate tiene un temporizador de saludo de 1 segundo y un temporizador de mantenimiento de 3 segundos.

FGCP HA: alta disponibilidad con el protocolo de clúster de FortiGate

¿Qué es HA?

High Availability es una solución específica de FortiGate para proporcionar redundancia. HA utiliza FGCP. Esencialmente, HA funciona de manera similar a VRRP.

Pero una de las principales diferencias es que absolutamente debe tener dos modelos FortiGate iguales para lograr HA.

Cuando une sus firewalls a un clúster, sincronizarán sus configuraciones y funcionarán como un solo dispositivo.

De esta manera podrán proporcionar conmutación por error y equilibrar la carga del tráfico si es necesario.

Formando un racimo

Para unir unidades FortiGate a un clúster, los participantes deben tener el mismo modelo, firmware y hardware (mismos tipos o cantidad de módulos, etc.).

Cada clúster tendrá una unidad FortiGate primaria y una o más (hasta tres) unidades secundarias.

Qué es FGCP

Al igual que VRRP, HA asignará las direcciones MAC virtuales a las unidades de clúster, utilizando ARP gratuito para comunicarse entre las unidades de clúster.

Al ajustar los temporizadores, el tiempo de conmutación por error de FortiGate puede ser inferior a un segundo. Sólo si se configura correctamente y en condiciones ideales.

Requisitos de la FGCP

Otra cosa importante a tener en cuenta aquí es que necesitará equipo de red adicional para configurar HA.

Es necesario conectar otro conmutador entre los miembros del clúster HA e Internet (NTD: dispositivo de terminación de red).

Lo que agrega otro punto único de falla. Esto se puede mitigar mediante la introducción de otro conmutador, posiblemente utilizando otro VRRP entre ellos para crear una redundancia total.

Eso significa que necesita otros dos dispositivos de red para implementar HA correctamente. Y hasta cuatro (porque necesita otro conmutador o un par entre firewalls y LAN).

Esto puede acumular gastos con bastante rapidez, y por eso es que muchas empresas no implementan esta opción.

FortiGate High Availability HA, dónde conseguirlo

En Bits manejamos varios productos de Fortinet que podemos implementar en tu empresa.

¡Contáctanos!