Cómo resolver problemas con las IPs secundarias asignadas en FortiGate HA activo-pasivo en AWS entre múltiples zonas

En entornos de alta disponibilidad (HA) de FortiGate en Amazon Web Services (AWS) con múltiples zonas, es crucial entender cómo re-asignar direcciones IP públicas secundarias durante un failover. Este artículo aborda el proceso y los comandos necesarios para garantizar que la configuración de la red siga siendo funcional y eficiente, ayudando a prevenir interrupciones en el servicio.

Descripción del problema

Cuando se produce un failover de FortiGate HA en un entorno de AWS con múltiples zonas, las direcciones IP asignadas pueden no transferirse automáticamente. Esto se hace más complejo si hay varias IP públicas mapeadas a IPs privadas. Es fundamental gestionar correctamente estas asignaciones para mantener la continuidad del servicio.

Alcance

Este artículo se centra en la configuración de FortiGate HA en AWS, específicamente en cómo manejar la re-asignación de IPs en un entorno de múltiples zonas.

Diagnóstico paso a paso

En un entorno típico de AWS, los dispositivos FortiGate en alta disponibilidad (HA) tendrán un rango de direcciones IP diferente. La configuración debe incluir secundarias en ambas instancias de FortiGate. Se muestran a continuación ejemplos de cómo configurarlo.

A continuación se presenta un esquema de las IPs secundarias y públicas en un FortiGate HA:

Solución recomendada

Los dispositivos FortiGate primario y secundario necesitan estar configurados para manejar las IP públicas de forma efectiva durante el failover. El FortiGate primario debe tener asignadas sus IPs secundarias junto con las IPs públicas. Esto evitará problemas de conectividad cuando se produce un cambio de estado HA.

Es crucial que las IPs públicas estén correctamente asignadas en el FortiGate primario. Un ejemplo visual de la configuración se presenta a continuación:

Comandos CLI utilizados

A continuación se presentan algunos comandos CLI clave que pueden ayudar en el diagnóstico y la re-asignación de IPs:

AWS-HA-Passive # diagnose debug application awsd -1

Este comando habilita el modo de depuración para el servicio awsd, lo cual es útil para monitorear el estado del HA y las actividades relacionadas con las IPs.

Algunos mensajes esperados en el registro de depuración incluyen:

AWS-HA-Passive # awsd running in secondary mode, won't update
HA event
HA state: primary
awsd associate elastic ip 99.80.137.76 successfully
...

Buenas prácticas y recomendaciones

• Validar que todas las IPs públicas están correctamente asignadas antes de realizar un failover.
• Utilizar la depuración para supervisar el estado del failover y la asignación de IPs.
• Hacer respaldos de la configuración de las IPs antes de implementar cambios significativos.

Notas adicionales

Es importante considerar que la asignación de IPs públicas se debe hacer en secuencia y seguir un proceso adecuado para evitar errores en la red. Para más detalles sobre la implementación de HA en AWS, se puede consultar la guía oficial de Fortinet.

Desplegando FortiGate-VM HA activa/pasiva en AWS entre múltiples zonas.