Содержание
Межсетевой экран на границе сети — единая точка отказа: сломалось устройство — и офис без интернета. Кластер UserGate NGFW снимает этот риск: две и больше ноды работают как одно логическое устройство, и при отказе главной её роль и адреса забирает резервная. Если резервирование не требуется, UserGate NGFW работает и отдельным устройством, без кластера. Ниже — как он устроен по документации вендора к версиям 7.x. Подобрать платформу и купить UserGate NGFW для кластера можно в нашем каталоге.
Два кластера в одном: конфигурации и отказоустойчивости
В UserGate NGFW два типа кластера, и второй строится поверх первого.
Кластер конфигурации держит одинаковые настройки. Политики фильтрации и обработки трафика общие для всех узлов: изменили на одном — изменение реплицируется на остальные. В версии 7.5 в такой кластер объединяют до 12 узлов. Часть параметров у каждого узла своя: интерфейсы, шлюзы, маршруты, DHCP, OSPF, BGP, диагностика и подключение к Log Analyzer.
Кластер отказоустойчивости собирают из 2–4 узлов кластера конфигурации. Он отвечает за непрерывную работу: узлы следят друг за другом, синхронизируют пользовательские сессии, а трафик приходит на общие виртуальные IP-адреса. Таких кластеров может быть несколько: например, из узлов A, B, C и D собирают две пары — A-B и C-D.
| Кластер конфигурации | Кластер отказоустойчивости | |
|---|---|---|
| Задача | Одинаковые политики на всех узлах | Обработка трафика без остановки при отказе узла |
| Сколько узлов | До 12 в версии 7.5 | От 2 до 4 узлов кластера конфигурации |
| Что общее у узлов | Параметры фильтрации и обработки трафика | Виртуальные IP-адреса и пользовательские сессии |
| Как узлы связаны | Зона репликации, обычно Cluster | VRRP-объявления между кластерными интерфейсами |
Для репликации кластера не используйте зону, интерфейсы которой подключены к недоверенной сети, например к интернету, — это прямое предупреждение документации UserGate.
Режимы: «активный — пассивный» и «активный — активный»
«Активный — пассивный» — режим по умолчанию. Трафик на виртуальные адреса обрабатывает мастер-узел, остальные ноды ждут в резерве. Если мастер пропал, его роль и все виртуальные IP-адреса переходят к резервному узлу — с наибольшим приоритетом, если приоритеты настроены, иначе с наибольшим IP-адресом. Резервная нода может обрабатывать трафик, который приходит на её собственные, некластерные интерфейсы; при желании этот транзит запрещают.
«Активный — активный» распределяет нагрузку. Виртуальные адреса по-прежнему живут на мастер-узле, но на ARP-запросы клиентов он по очереди отвечает MAC-адресами всех узлов кластера, и клиенты расходятся по разным нодам. Часть трафика мастер обрабатывает сам.
У режима два условия. Балансировка работает только в одном широковещательном домене: если между UserGate NGFW и клиентами стоит маршрутизатор, он получит MAC-адрес одной ноды и весь трафик пойдёт через неё. И обратный трафик сессии должен вернуться через тот же узел — проще всего это обеспечить NAT из внутренней зоны во внешнюю.
| Активный — пассивный | Активный — активный | |
|---|---|---|
| Кто обрабатывает трафик | Мастер-узел, остальные в резерве | Все узлы: мастер раздаёт клиентов по нодам |
| Главная задача | Резерв на случай отказа устройства | Резерв и распределение нагрузки |
| Обмен служебным трафиком | Мультикаст или юникаст | Мультикаст |
| Виртуальный MAC-адрес кластера | Можно включить | — |
| Рассылка Gratuitous ARP | Каждую минуту и при смене мастера | При смене мастера |
| Кластер в Yandex Cloud | Да, из двух узлов | — |
Режим отказоустойчивости «активный — активный» до четырёх нод указан на страницах всех 15 аппаратных платформ UserGate NGFW — от B50 до F8010 и FG.
Как ноды решают, кто главный: VRRP, GARP и приоритеты
Узлы кластера отказоустойчивости обмениваются VRRP-объявлениями через кластерные интерфейсы и по ним оценивают связность и приоритеты друг друга. Сервис VRRP нужно разрешить в настройках зоны: иначе обе ноды считают себя мастером, и кластер фактически не работает.
Роль мастера переходит к резервному узлу без условий в трёх случаях: резервный узел перестал получать подтверждения от мастера — тот выключен или пропала связь; сбой ПО UserGate NGFW; на узле включена проверка доступа в интернет, а интернета нет ни через один шлюз. Если интернета нет на всех узлах сразу, роль не переходит, а кластер приостанавливает работу. До версии 7.5.0 мастер считался пропавшим через три секунды без объявлений, в 7.5 интервал и счётчик задаются в настройках.
В 7.5 переключение зависит и от диагностики. По умолчанию проверяются узлы кластера, локальный DNS-сервер, прокси-сервер и кластерные интерфейсы, а отключение любого интерфейса мастера делает недоступным весь мастер-узел. Можно включить учёт приоритетов: у мастера 254, у резервного 253, за каждый физически отключённый кластерный интерфейс узел теряет 2. Дополнительно включают проверку шлюзов и доступности своих сервисов по IP-адресу или имени.
После смены мастера UserGate NGFW рассылает Gratuitous ARP, чтобы коммутаторы и маршрутизаторы обновили ARP-таблицы. Если сетевое оборудование такие пакеты отбрасывает, трафик какое-то время идёт через обе ноды сразу — база знаний UserGate советует проверить фильтрацию ARP на магистральном оборудовании.
Сессии синхронизируются отдельно для TCP, SCTP и DCCP и для UDP и ICMP, поэтому пользователи переключения не замечают. Исключение — сессии через прокси-сервер, например HTTP(S). Синхронизация заметно нагружает платформу, это стоит учесть при выборе модели. Кроме самих устройств, UserGate NGFW резервирует и каналы: поддерживаются агрегирование каналов LACP и резервирование канала.
Что купить для кластера UserGate NGFW
Для пары нужны два устройства. У каждой аппаратной платформы и у виртуального образа UserGate NGFW в каталоге три варианта поставки: отдельное устройство, первая нода кластера и вторая нода. Для отказоустойчивой пары заказывают первую и вторую ноду.
Лицензию на работу в кластере вендор предоставляет бесплатно, когда несколько устройств покупают для совместной работы, — на число узлов кластера и без срока действия. Без модуля Cluster в лицензии кластер не соберётся: если одна из нод показывает «отсутствует лицензия», первая причина по базе знаний UserGate — лицензия выдана без поддержки кластеризации. Поэтому ноды заказывают сразу как кластерные.
Лицензия одна на весь кластер. Её активируют на первом узле, а на дополнительном нажимают «Проверить лицензию». Если первый узел активировали онлайн, второму тоже нужен доступ в интернет; при офлайн-активации — не нужен.
Лицензия Cluster на узлы кластера бесплатна и бессрочна — платить нужно за сами ноды, а не за право работать в кластере.
Руководство к версиям 6.1.9 и 7.0.1 допускает в одном кластере разные модели и даже смешанные кластеры из аппаратных и виртуальных узлов. Мы всё же советуем брать две одинаковые платформы: в режиме «активный — пассивный» резервная нода принимает весь трафик мастера, и её производительности должно хватить. Цифры производительности — на страницах моделей, например UserGate D200 для корпоративных сетей и филиалов и UserGate D500 для крупных филиалов. Доверенные ПАК — C150, D200, D500, E1000, E1010, E3000, E3010, F8000, F8010 и FG. Что это даёт, разобрано в статье «ПП 1912 и доверенные ПАК», а сертификаты — в статье «Сертификаты UserGate».
Пример пары на платформе D200:
Виртуальный кластер и облако
Виртуальный образ UserGate NGFW тоже работает в кластере, для него в каталоге есть первая и вторая нода. Базовая лицензия виртуального образа считается по числу ядер виртуальной машины, а не по модели платформы.
В Yandex Cloud кластер отказоустойчивости устроен иначе: только два узла в режиме «активный — пассивный», служебный трафик юникастом, без виртуального MAC-адреса, без виртуальных IP-адресов и без синхронизации сессий. Входящий трафик направляет внешний балансировщик, а при отказе мастера UserGate NGFW сам переписывает маршрут в таблице маршрутизации Yandex Cloud на резервный узел. Ноды можно разместить и в разных зонах Yandex Cloud.
Как собрать кластер: порядок работ
Пошаговая настройка — в руководстве администратора UserGate NGFW. В общих чертах:
- На первом узле — первоначальная настройка и проверка, что в лицензии есть модуль Cluster.
- Зона репликации (обычно Cluster) с сервисами «Консоль администрирования» и «Кластер» и статический адрес кластерного интерфейса.
- Секретный код на первом узле для подключения второго.
- На второй ноде в мастере установки — «Установка дополнительного узла кластера», адрес первого узла и код. Настройки реплицируются.
- На второй ноде — зоны интерфейсов, проверка лицензии, свои шлюзы и маршруты.
- Кластер отказоустойчивости: VRRP в зоне, от двух до четырёх узлов, мастер, режим и виртуальные IP-адреса.
- Проверка: роль мастера переводят на другой узел и обратно.
Дополнительный узел подключается к кластеру во время своей первоначальной настройки, поэтому уже работающее отдельно устройство сначала сбрасывают к заводским параметрам.
Обновление ПО кластера
Обновления приходят по подписке Security Update: первый год входит в базовую лицензию, дальше её продлевают — подробнее в статье «Лицензирование UserGate NGFW».
Порядок обновления кластера по документации вендора:
- Убедиться, что все узлы включены и доступны, и сделать резервную копию.
- Начать с резервного узла. Пока версии на нодах разные, в кластере конфигурации они видны как недоступные — это нормально, кластер соберётся, когда все узлы получат одну версию.
- Назначить обновлённый узел мастером и проверить основные функции.
- Обновить узел, который был мастером.
Во время обновления конфигурацию не меняют, иначе возможны проблемы с синхронизацией узлов. Устройство может несколько раз перезагрузиться, поэтому обновление планируют на технологическое окно. Для планового обслуживания ноду можно временно вывести из кластера переключателем «Приостановить работу».
Прямое обновление до 7.5.1 возможно с версий 7.3.3, 7.4.1–7.4.3 и 7.5.0. Переход с 6.x на 7.x — отдельная процедура с чистой установкой узлов; ветки и пути обновления — в статье «Версии UserGate NGFW».
Как заказать кластер UserGate NGFW
По числу пользователей, объёму трафика, функциям защиты и режиму кластера подберём платформу, посчитаем ноды и подписки и пришлём коммерческое предложение. Несколько кластеров в филиалах удобно вести из UserGate Management Center — он управляет и кластерами. Если межсетевой экран ещё не выбран, начните со статьи «Межсетевой экран и NGFW: как выбрать».
Все 15 платформ, виртуальный образ и подписки — на странице UserGate NGFW: цены и платформы.
Товар UserGate NGFW по запросу Смотреть →Частые вопросы
Сколько нод можно объединить в кластер UserGate? +
В кластер конфигурации — до 12 узлов (документация к версии 7.5). Кластер отказоустойчивости собирается из 2–4 узлов кластера конфигурации, и таких кластеров может быть несколько: например, из четырёх нод — две пары.
Нужно ли покупать лицензию на кластер UserGate? +
Нет. Когда несколько устройств UserGate NGFW покупают для работы в кластере, вендор бесплатно предоставляет лицензию на число узлов, срок у неё не ограничен. Важно, чтобы модуль Cluster был в лицензии: ноды заказывают как первую и вторую ноду кластера.
Можно ли работать с UserGate без кластера? +
Да. UserGate NGFW работает и отдельным устройством — это обычный выбор, если резервирование не требуется. Кластер нужен, когда остановка межсетевого экрана недопустима.
Чем Active-Active отличается от Active-Passive в UserGate? +
В режиме «активный — пассивный» трафик обрабатывает мастер-узел, остальные ждут в резерве. В режиме «активный — активный» мастер раздаёт клиентов по всем нодам, и нагрузка делится между ними. Балансировка работает только в одном широковещательном домене: за маршрутизатором весь трафик пойдёт через одну ноду.
Сохранятся ли сессии пользователей при переключении ноды? +
Да, если включена синхронизация сессий: для TCP, SCTP и DCCP и отдельно для UDP и ICMP. Исключение — сессии через прокси-сервер, например HTTP(S). Синхронизация добавляет нагрузку на платформу.
Как работает VRRP в кластере UserGate? +
Ноды обмениваются VRRP-объявлениями через кластерные интерфейсы. Если резервный узел перестаёт получать подтверждения от мастера, он забирает роль мастера и все виртуальные IP-адреса и рассылает Gratuitous ARP, чтобы сеть обновила ARP-таблицы. Сервис VRRP должен быть разрешён в настройках зоны.
Как добавить вторую ноду в кластер UserGate? +
Дополнительный узел подключается к кластеру во время своей первоначальной настройки: в мастере установки выбирают «Установка дополнительного узла кластера» и вводят адрес первого узла и секретный код. Устройство, которое уже работает отдельно, сначала сбрасывают к заводским параметрам.
Как обновить кластер UserGate? +
Начинают с резервного узла: обновляют его, назначают мастером, проверяют работу и только потом обновляют прежний мастер. Перед обновлением делают резервную копию, все узлы должны быть включены, конфигурацию в это время не меняют. Обновления приходят при действующей подписке Security Update.
