HA Switchstack zur HA Firewall

Hallo Jungs,

ich bräuchte mal Hilfe zu einer Thematik, auf die ich z.Z. selbst keine Lösung habe.

Wir betreiben aktuell zwei Ruckus L3 Switche die im Stack laufen. Seit mehreren Jahren war die Anbindung zur Außenwelt über eine Fortigate gewährleistet, was sich aber im Zuge diverser Umstellung im Unternehmen jetzt erledigt hat.

Wir haben auf eine HA Firewall Lösung umgestellt, das heißt, wir betreiben zwei gleiche Fortigate Firewall im HA Modus. Fällt eine aus, übernimmt die andere ohne Unterbrechung.

Also musste auch die Anbindung der L3 Switche zur Firewall angepasst werden. Anbei ein Bild

skizze

Die vorherige Konfiguration sah wie folgt aus:

FW:
Modus: LACP dynmaic
Port: 39+40
IP: 10.0.99.1/24
VLAN: 99

Switch Stack
Modus: LACP dynmaic
Port: 1/1/1 + 2/1/1
IP: 10.0.99.2/24
VLAN: 99
Route Only Interface
lacp-timeout: 3 Sekunden

Das heißt, das ich zwei anstatt bisher einer LAG konfigurieren müsste um eine downtime zu verhindern und das Routing an das nächstgelegene Interface abzugeben? Ein LAG1 zur FW1 als active und ein LAG2 zur FW2 als passiv. Das heißt, wenn FW1 ausfällt wird LAG1 passiv und LAG2 active?

Es ist jedoch nicht möglich mehrere Routing Interfaces im gleichen Subnetz zu erstellen ( /24 ).

Sicherlich gibt’s eine einfachere Lösung zu diesem Thema, da ich jedoch den Wald vor lauter Bäumen nicht mehr sehe, hoffen ich, dass mir einer von euch einen Ratschlag hierfür nahelegen kann.

PS: Sollten Angaben unklar sein oder Informationen fehlen, werde ich diese nachtragen.

Ich danke euch.

Content-Key: 1552269319

Url: https://administrator.de/contentid/1552269319

Ausgedruckt am: 26.11.2021 um 17:11 Uhr

Mitglied: aqui
aqui 25.11.2021 aktualisiert um 17:25:25 Uhr
Goto Top
da ich jedoch den Wald vor lauter Bäumen nicht mehr sehe,
Das wirds wohl sein ! 😉
Erstmal vorweg, ein LAG ist niemals "active" oder "passive" vergiss den Unsinn. Sowas gibt es bei LAGs nicht.
Active/Passive Designs sind auch etwas old fashioned im FW HA Design, normal macht man heute ja immer active/active mit Balancing. Eine teuer bezahlte und lizensierte FW einfach nur nutzlos rumdümpeln zu lassen ist nicht mehr state of the art. Aber egal.... Ist ein anderes Thema.

Du richtest in deinem Setup zwei LACP LAGs ein. Sprich:
  • FW 1 (aktuell active) 39 und 40 auf LAG1 des Stacks 1/1/1 und 2/1/1
  • FW 2 (aktuell passive) 39 und 40 auf LAG2 des Stacks 1/1/2 und 2/1/2
Die beiden LAGs sind Member eines gemeinsamen VLANs mit den folgenden IPs:
  • FW1 = IP: 10.0.99.1/24
  • FW2 = IP: 10.0.99.2/24
  • Stack = VE IP: 10.0.99.254/24
Der FW Cluster shared ja immer eine virtual IP (VIP) vermutlich mit VRRP die jeweils der aktive Member hält (der der auf die ARPs antwortet). Meist wird das mit VRRP gemacht. Die VIP kann dabei einer der FW Hardware IP Adressen sein oder eine dritte virtuelle IP. Z.B. 10.0.99.3. Leider machst du zu dem Setup ja keinerlei Angaben. :-( face-sad
Sprich also die VIP wird immer vom aktiven FW Member übernommen. Folglich zeigt dann die Default Route des L3 Switches auf diese VIP des HA Clusters.
Alles doch ein simples und klassisches Setup ?!
Wo bitte muss man da so einen wirren Unsinn wie "mehrere Routing Interfaces im gleichen Subnetz" erstellen. (Was ja per se ja schonmal Unsinn ist). Vermutlich hast du deine IP Routing Kenntnisse auch schon in Panik über Bord geschmissen...
Also mal luftholen und nochmal in Ruhe nachdenken ?! ;-) face-wink
Heiß diskutierte Beiträge
question
Installationsproblem Office 2021 - alle Links öffnen Edge! gelöst SarekHLVor 1 TagFrageMicrosoft Office14 Kommentare

Hallo zusammen, ich habe gerade Office 2021 auf einem Notebook installiert und habe ein seltsames Phänomen! Die Verknüpfungen zu den Office-Programmen führen allesamt zu Edge! ...

question
VPN Tunnel inkonsistent? gelöst NespressoVor 1 TagFrageNetzwerkprotokolle4 Kommentare

Hallo zusammen, das Thema VPN ist bei mir recht neu, doch habe ich es hinbekommen den Windows Server 2016 eigenen VPN dienst zu konfigurieren und ...

question
WSUS Problem mit Office + ExplorerfrenchfriesguyVor 1 TagFrageWindows Update7 Kommentare

Hallo zusammen ich/wir haben folgendes Problem mit einem Teil unseres Windows-Clients (W10E, 20H2) in Verbindung mit den Windows Updates. Die Updates werden über einen WSUS-Server ...

question
Eigener Server für Groupware und Nextcloudjonny-flashVor 1 TagFrageE-Mail5 Kommentare

Hallo zusammen, ich darf für ein kleines Startup temporär die Administration übernehmen, und habe bevor es los geht ein paar Fragen, die ich hier gern ...

question
VPN- 2 Sicherheitsfunktionen gelöst TekamolosVor 1 TagFrageVerschlüsselung & Zertifikate3 Kommentare

Hallo Jungs, beim Lernen habe ich diese Frage bekommen, da es im Internet sehr viel über VPN und viel Text und Protokolle gibt, war ich ...

question
Mobilfunk-Internet ins Heimnetzwerk integrieren? gelöst AvarianVor 16 StundenFrageNetzwerkmanagement6 Kommentare

Hallo, Ich bin neu hier. Wir sind vorletztes Jahr umgezogen. Die Gelegenheit habe ich damals direkt genutzt, um künftig auf wackelige WLAN-Lösungen (Repeater, Mesh-Repeater, Powerlines ...

question
Über das Notebook per Simkarte von unterwegs aus ins Internet?isarc01Vor 23 StundenFrage5G, 4G, LTE, UMTS, EDGE & GPRS8 Kommentare

Hallo, folgende Frage: Wenn ich über mein Notebook über eine angemeldete SIM Karte mit einer Datenflatrate ins Internet gehen möchte, benötige ich hier einen bestimmten ...

question
Maximale Empfänger bei Office365 gelöst mmpmmpVor 1 TagFrageMicrosoft Office11 Kommentare

Hallo, ich verwende nun Office365 (Exchange Online) für Emails und würde gerne die Weihnachtsgrüße per Mail versenden. Wo liegen die Beschränkungen der maximalen Empfänger? ...