Cisco C9300 ile Güvenilir FortiGate Yüksek Erişilebilirlik Tasarımı: A/A ve A/P, HSRP ve Yük Devretme Tuzakları

Modern kurumsal uç nokta tasarımında, bir FortiGate HA kümesini bir Cisco Catalyst 9300 çekirdeğiyle eşleştirmek yaygın bir uygulamadır. Kağıt üzerinde, mimari oldukça basit görünmektedir: ISP → FortiGate HA → C9300 StackWise → Erişim Katmanı.

Üretimde ise güvenilirlik, topoloji diyagramlarıyla değil, stres altında arıza durumunda devreye girme davranışıyla belirlenir.

Bu kılavuz, FortiGate HA ile Cisco C9300 arasında öngörülebilir, test edilebilir ve arızaya dayanıklı bir entegrasyon oluşturmanın ardındaki gerçek mühendislik hususlarını ayrıntılı olarak inceliyor; A/A ve A/P modu seçimi, HSRP etkileşimi, MAC davranışı, LACP tasarımı ve doğrulama stratejisi gibi konuları ele alıyor.

• Bölüm 1: Tipik Kurumsal Topoloji – Karmaşıklığın Gizlendiği Yer
• Bölüm 2: Aktif-Aktif ve Aktif-Pasif – Kapasite ve Dirençlilik
• Bölüm 3: FortiGate HA'yı Cisco HSRP ile Entegre Etme
• Bölüm 4: Katman 2 Davranışı – MAC, CAM, GARP, LACP
• Bölüm 5: Üretim Öncesi Doğrulama Kontrol Listesi
• Bölüm 6: Çoklu Tedarikçili Yüksek Erişilebilirlikte Donanım Uyumluluğu
• Sıkça Sorulan Sorular: FortiGate HA ve Cisco C9300 Tasarımı

Bölüm 1: Tipik Kurumsal Topoloji – Karmaşıklığın Gizlendiği Yer

Yaygın bir uygulama şu şekilde görünür:

• FortiGate HA çiftine çift ISP entegrasyonu
• FortiGate iç arayüzleri, Cisco C9300 StackWise çekirdeğine bağlantı kurar.
• C9300'de HSRP çalıştıran SVI'lar
• Güvenlik duvarı ve çekirdek arasında dinamik yönlendirme (EIGRP/OSPF)
• Birleştirilmiş LACP yukarı bağlantıları

Her bir bileşen kendi başına stabildir. Karmaşıklık, etkileşim katmanlarında ortaya çıkar:

• Güvenlik duvarı yüksek kullanılabilirlik (HA) arıza durumunda devreye girme zamanlaması
• HSRP önceliklendirme davranışı
• CAM tablosu güncellemeleri
• LACP yeniden müzakeresi
• Dinamik yönlendirme yakınsaması

Çoğu kesinti, yüksek kullanılabilirlik (HA) sisteminin başarısız olmasından değil, bitişik sistemlerin bu arıza durumuna öngörülemeyen tepkiler vermesinden kaynaklanır.

Bölüm 2: Aktif-Aktif ve Aktif-Pasif – Kapasite ve Gerçek Direnç

FortiGate Aktif-Aktif (A/A) protokolünün trafiği eşit olarak bölerek verimliliği iki katına çıkardığına dair yaygın bir yanılgı vardır.

A/A'nın Gerçekliği

FortiGate kümelemesinde:

• Tüm oturumlar başlangıçta ana birime aittir.
• UTM denetimi ikincil birime devredilebilir.
• Standart güvenlik duvarı trafiği öncelikle birincil güvenlik duvarı tarafından işlenmeye devam eder.

A/A simetrik yük dengelemesi değildir. Oturum sahibi tabanlı dağıtımdır.

Eğer her iki düğüm de kararlı durumda %60 kullanım oranında çalışıyorsa, tek bir ünitenin arızalanması kalan cihaza %120 yük bindirir; bu da tasarruf moduna geçmeyi, oturum kesintilerini veya çevre ağının tamamen kararsız hale gelmesini tetikler.

İşletmelerin %90'ının Neden Borçlar Muhasebesini Kullanması Gerekir?

Aktif-Pasif (A/P):

• İkincil sistemin her zaman yükün %100'ünü karşılayabilmesini sağlar.
• Asimetrik denetim karmaşıklığını ortadan kaldırır.
• Sorun gidermeyi basitleştirir
• Devlet mülkiyeti karmaşasını önler.

Yüksek kullanılabilirlik bir performans stratejisi değil, bir felaket stratejisidir.

Bölüm 3: FortiGate HA'yı Cisco HSRP ile Entegre Etme – Kontrol Düzlemi Yarış Durumları

Bölünmüş Beyin Riski

Eğer HA kalp atışı bağlantıları çekirdek anahtarlardan geçiyorsa ve bağımsız olarak arızalanıyorsa, her iki FortiGate de birincil rolü üstlenebilir. Bu durum, sanal MAC adreslerinin ve IP adreslerinin çoğalmasına ve trafiğin kara deliğe düşmesine neden olur.

En iyi pratik:

• Özel, doğrudan kalp atışı bağlantıları kullanın.
• İkincil kalp atışı yollarını yapılandırın
• HA kalp atışını asla üretim değiştirme kumaşından geçirmeyin.

HSRP Öncelik Çatışmaları

HSRP, FortiGate'in HA müzakeresini tamamlamasından önce öncelik kazanırsa, ağ geçidi rolleri dalgalanabilir.

Zamanlayıcıları dikkatlice hizalayın ve eş zamanlı yeniden yakınsama olaylarından kaçının.

Arayüz İzleme Örneği

FortiGate'te arayüz izlemeyi etkinleştirmek için örnek CLI yapılandırması:

config system ha
    set monitor port1 port2
end

Aktif bağlantı kesilirse, bu durum trafiğin sessizce engellenmesi yerine kümenin otomatik olarak başka bir sisteme geçmesini zorunlu kılar.

Bölüm 4: Katman 2 Davranışı – MAC, CAM, GARP ve Port-Channel Tasarımı

Sanal MAC ve Ücretsiz ARP

A/P modunda, her iki FortiGate de aynı sanal MAC adresini paylaşır. Arıza durumunda, yeni birincil cihaz Cisco CAM tablolarını güncellemek için Ücretsiz ARP (GARP) gönderir.

Bazen anahtarlar CAM tablolarını hemen boşaltmaz ve bu da geçici trafik kaybına neden olur.

bağlantı hatası sinyali örneği

Bağlantı hatası sinyalini etkinleştirmek için örnek CLI komutu:

config system ha
    set link-failed-signal enable
end

Bu durum, eski birincil sunucuda kısa süreli bir bağlantı kopmasına neden olarak, CAM'in anında temizlenmesini tetikler.

LACP ve MAC Kanatçıklarının Açılma Riskleri

• Hem FortiGate hem de Cisco Port-Channel'da LACP (802.3ad) kullanın.
• Farklı C9300 yığın üyeleri arasında bağlantıları dağıtın.
• Tek üyeli yeniden başlatma sırasında davranışı doğrulayın

StackWise üyesi yeniden başlatıldığında, trafik sorunsuz bir şekilde azalmalı ve güvenlik duvarı arıza durumuna geçmesi tetiklenmemelidir.

Bölüm 5: Üretim Öncesi Doğrulama Kontrol Listesi

Yüksek kullanılabilirlik (HA) çözümünü, kontrollü hata testi yapmadan asla devreye almayın.

• HA Kalp Atışı İzolasyon Testi
• LACP Üye Başarısızlık Testi
• Aktif-Pasif Yük Devretme Testi
• Durum Bilgili Oturum Alma Testi
• Dinamik Yönlendirme Kararlılık Testi

Cisco cihazlarında MAC tablosu hareketini doğrulamak için örnek komut:

show mac address-table

Yüksek kullanılabilirlik, çalışma süresiyle değil, arızalarla kanıtlanır.

Bölüm 6: Çoklu Tedarikçili Yüksek Erişilebilirlikte Donanım Uyumluluğu

Birçok HA hatası yapılandırma sorunlarından değil, donanım etkileşim sorunlarından kaynaklanmaktadır.

• Doğrulanmamış SFP modülleri bağlantı yeniden müzakeresine neden oluyor.
• StackWise sürüm uyuşmazlığı
• FortiOS küçük sürüm tutarsızlıkları
• Yük devretme sırasında oluşan ani trafik artışı altında optik kararsızlık
• Uyumlu HA ünitelerinin tedarikinde gecikmeler yaşandı.

Cisco çekirdek altyapısı ve Fortinet çevre güvenliğini birleştiren çoklu tedarikçi mimarilerinde, donanım uyumluluğunun ve özdeş yüksek kullanılabilirlik (HA) ünitelerinin hızlı kullanılabilirliğinin sağlanması, yapılandırma doğruluğu kadar kritiktir. İşletmeler, genellikle Cisco gibi deneyimli altyapı tedarikçileriyle çalışarak tedarik ve uyumluluk risklerini azaltırlar. Yönlendirici-anahtarFarklı tedarikçilerden gelen ürünlerin doğrulanmasını ve senkronize edilmiş yüksek kullanılabilirlik (HA) donanım gereksinimlerini anlayan kişiler.

Sıkça Sorulan Sorular: FortiGate HA ve Cisco C9300 Tasarımı

S1. Daha yüksek verim için Aktif-Aktif modu kullanmalı mıyım?

Çoğu kurumsal ortamda, aktif-pasif mimari tercih edilir çünkü arıza durumunda tam kapasiteyi garanti eder ve asimetrik oturum sahipliği karmaşıklığını önler.

S2. Yedekleme sırasında trafik neden bazen düşüyor?

Geçici düşüşler genellikle CAM tablosu güncelleme gecikmeleri, GARP işlem zamanlaması veya LACP yeniden müzakere olaylarından kaynaklanır.

S3. Sağlıklı bir arıza durumunda kaç paketin kaybolması gerekir?

Bağlantı hatası sinyalinin etkinleştirildiği, düzgün şekilde ayarlanmış bir ortamda, paket kaybı genellikle 1-3 paketle sınırlı kalmalıdır.