各位好，最近被老闆詢問到Firewall 是否可以做Active/Active Mode
小弟好像只知道Cisco 有glbp 的方式透過ARP reply round robin Gateway的Mac address
請問Juniper or fortinet or SonicWALL 防火牆是否也可以做到Active/Active Mode嗎?
原理是否也是像Cisco 的glbp一樣呢? 或者是有不同的AA Mode的運作原理呢?
(因為小弟有看到有些AA Mode 好像有兩組VIP ?)
當初規劃一台情況下就可以扛的住流量，只是想說另外一台平常沒有在運作感覺很浪費，所以才提出AA Mode的需求
但是我看了某些設備在none full-mesh下兩台Firewall AA mode發生Fail over時Session table無法順利接起來，必須重新連線，這樣的說法有錯誤嗎?(小弟看到大部分Active/Standby 架構之下Standby的Firewall都會定期去同步Active Firewall，當發生fail over時可以順利接起session ，不須重新建立連線)
Cisco ASA A/A 好像常見都是二台 常用 , 但好像沒特別去了解他如何分散處理
CheckPoint A/A 要看你的數量 及Multicast 及Unicast HA , Unicast 二台 30% 70 %三台會是20 40 40 %
Fortigate A/A 要看你的數量 二台 50% 50 %
A/A 在切換時會 一些osfp Muticast 的packet 會有瞬斷的情形 , 基本上A/A 切換都很快 , 服務就OK
A/A 的設定都是同步的
cisco / checkpoint 都是實體網口 需要IP , HA 則透過VIP 來對外服務 , 如二台 對外單一介面 ip 就需要3個ip
Fortigate 則是如二台 對外單一介面 只需要1個ip
至於那家好 , 看預算 及廠牌徧好 及個人喜好而定 , 如果你是大公司建議你用Checkpoint
因為他功能是用過最全的 , 但唯一缺點後續維護及升級問題 , SSLVPN 功能過少
Cisco ASA / Fortigate 一般來說自維就ok , 沒什麼維護成本 , 基本上不想花太多力氣就用這二種
如果是Juniper Netscreen AA mode 架構是可以完全不掉session接起來
原廠文件有提到
In an Active/Active setup, Firewall-A is the master for one VSD group, such as VSD group 0, and Firewall-B is the master for the other VSD group, such as VSD group 1. When Firewall-A fails, Firewall-B becomes the master for both 0 and 1 VSD groups and carries 100% of the traffic; So that you do not loose any sessions. In case of failure of one device, the total number of sessions at any given time on both the firewalls should not exceed the maximum number of sessions a single firewall can handle.
http://kb.juniper.net/InfoCenter/index?page=content&id=KB11402
M.M.SW wrote:
一般來說各家產品的A...(恕刪)
1. 我了解其實AS mode standby是持續在聽active的heartbeat，當發生failover時，standby才可以順利接下session
AS mode 大部分時間active的設備都是正常時，此時可以發現standby設備CPU Memory使用率都遠比active設備低很多
如果兩台可以同時運作了話，那可達到設備的load sharing
那小弟想詢問一下，您認為使用AA Mode 的好處是?
PS:公司目前已經使用兩台設備了，但目前只有跑AS mode，我也很清楚當要使用AA mode license的部分也會有不同變化
2.我比較想要了解的是使用AA mode 簡易運作原理，除了cisco的glbp之外，小弟不知道還有什麼其他技術可以做到AA的方式
https://live.paloaltonetworks.com/servlet/JiveServlet/previewBody/2541-102-4-25153/HA-Active-Active-Tech-Note.pdf
上面提到可以有兩組VIP的方式，變成Client分散設定兩組GW的方式達成AA mode
也有共用一組VIP 透過ARP load sharing的方式達成AA mode (與Cisco glbp運作原理相同)
另外我發現AA mode或者是AS mode 當發生fail over時，仍然有部分資料無法sync 以下是cisco 提出無法sync的資料
http://www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/110894-asa-active-failover-transparent.html
The information that is not passed to the standby unit when stateful failover is enabled includes these:
The HTTP connection table (unless HTTP replication is enabled)
The user authentication (uauth) table
The routing tables
State information for security service modules
我想，這就算是一個重要的比較點了
內文搜尋
從 APP 打開
X