在 VMware 上同步 Fortigate 集群

网络工程 加强 vmware
2022-02-23 00:41:13

我想创建一个 Fortigate 集群，其中两个 Fortigate 运行相同的 frimware 版本。每个 Fortigate 都有自己的许可证，因此每个都有其序列号。我已经按照 Cookbook 中描述的步骤配置了 HA 链接。但是路由器（Salve & Master）不同步。有人可能知道为什么？o_O

请帮帮我！

提前致谢。

The configurations are:
####################Fortigate 1####################
config system ha

set group-name "Cluster"

    set mode a-p

    set password ENC YYxXRRuXdiXkbfjL...

    set hbdev "port3" 50  "port4" 50

    set session-pickup enable

    set override disable

    set monitor "port1" "port3" "port4" "port5"

end
#############################

get system ha status

Model : Fortigate-VM64

Mode: a-p

Group: 0

Debug: 0

ses_pickup: enable, ses_pickup_delay=disable

Master : 128 Fortigate1         

Number of vcluster: 1

vcluster 1 : work 168.254.0.4

Master : 0 FGVM100000XXXX

Salve : 1 FGVM100000XXYY

#############################

diagnose sys ha cluster-csum

=======================Fortigate 1 ================================

is_manage_master ()=0, is_root_master ()=0
debugzone

global : 8c db d6 fc 9a 84 bb 8d d7 10 d6 e0 a6 6f 09 7e

root : 49 f0 12 10 42 09 c7 66 aa 04 c5 2c 29 52 0f 76

all: 9e 2c a7 e5 7c 6f a6 88 e5 a9 ea 26 e6 48 69 e6


checksum

global : 8c db d6 fc 9a 84 bb 8d d7 10 d6 e0 a6 6f 09 7e

root : 49 f0 12 10 42 09 c7 66 aa 04 c5 2c 29 52 0f 76 

all: 9e 2c a7 e5 7c 6f a6 88 e5 a9 ea 26 e6 48 69 e6


####################Fortigate 2####################

config system ha

    set group-name "Cluster"

    set mode a-p

    set password ENC YYxXRRuXdiXkbfjL...

    set hbdev "port3" 50  "port4" 50

    set session-pickup enable

    set override disable

    set priority 50

    set monitor "port1" "port3" "port4" "port5" 

end

get system ha status

Model : Fortigate-VM64

Mode: a-p

Group: 0

Debug: 0

ses_pickup: enable, ses_pickup_delay=disable

Slave : 50 Fortigate2       

Number of vcluster: 1

Salve : 1 FGVM100000XXXX

Master : 0 FGVM100000XXXX


diagnose sys ha cluster-csum

=======================Fortigate 2 ================================

is_manage_master ()=0, is_root_master ()=0
debugzone

global : 0f d4 37 ca f2 7e 5b ff ca fb ac aa 8b 38 88 6d

root : 1c 85 55 fe a7 e5 7c 6f a6 88 e5 a9 ea 26 e6 92

all: f5 62 b2 ce 81 9a c9 04 8f 67 07 ec a7 44 60 1f


checksum

global : 0f d4 37 ca f2 7e 5b ff ca fb ac aa 8b 38 88 6d

root : 1c 85 55 fe a7 e5 7c 6f a6 88 e5 a9 ea 26 e6 92

all: f5 62 b2 ce 81 9a c9 04 8f 67 07 ec a7 44 60 1f
1个回答

逐步配置 Fortigate VM 集群：

首先，当您配置包含两个 Fortigate VM 的集群时，您必须：

  • 在 VMware 上，两个路由器通过 vSwitch 链接，请确保 VM 已链接。

  • 按照以下步骤在 vSwitch 上启用 promicsious 模式以允许 HA 接口之间的 HA 通信：

    1.In the vSphere client, select your VMware server in the left pane and then select the Configuration tab in the right pane.
2.In Hardware, select Networking.
3.Select Properties of a vSwitch used to connect heartbeat interfaces.
4.In the Properties window left pane, select vSwitch and then select Edit.
5.Select the Security tab, set Promiscuous Mode to Accept, then select OK.
6.Select Close.

  • 当我们创建具有一个或多个虚拟网络适配器的虚拟机时，会为每个虚拟适配器自动生成两个 MAC 地址。

    • 第一个称为初始 MAC 地址，存储在配置文件中。这是无法改变的。
    • 第二个是有效MAC地址，由客户操作系统配置，在与其他系统通信时用作源MAC地址。但是，可以在 vSwitch 上更改有效 MAC 地址。

因为 FGCP 为 Fortigates 上的相同接口设置了虚拟 MAC 地址，所以您必须：

  • 将 vSwitch 设置为接受 MAC 地址更改：如果初始地址和有效地址不匹配（传入流量），则允许流量通过 vSwitch 到虚拟机

  • 将 vSwitch 设置为接受伪造传输：因为当此选项处于“接受”状态时，ESXi 在发送分组时不会将初始 MAC 地址与有效 MAC 地址进行比较。所以包不会被管理程序拒绝（传出流量）

    请按照以下步骤操作： 

1.In the vSphere client, select your VMware server in the left pane and then select the Configuration tab in the right pane.
      2.In Hardware, select Networking.
      3.Select Properties of a vSwitch used to connect heartbeat interfaces.
      4.In the Properties window left pane, select vSwitch and then select Edit.
      5.Select the Security tab, set MAC address change to "Accept" and Forged transmit to "Accept".
      6.Select OK and Close.
其它你可能感兴趣的问题
上一篇哪一个瞻博网络路由器图像给了我这个选项（GNS3）？ 下一篇2 个 ISP 上的特定网站流量