Cómo resolver el error de transferencia de IP pública y entrada de tabla de rutas en FortiGate Azure HA

Este artículo aborda un problema común en la configuración de alta disponibilidad (HA) de FortiGate en Azure, donde se requiere verificar que la IP pública y la tabla de enrutamiento se hayan transferido correctamente al nuevo FortiGate primario. La correcta gestión de este proceso es crucial para garantizar la continuidad del servicio y la conectividad de red. A lo largo del artículo, proporcionaremos una guía detallada que resolverá este inconveniente, describiendo cómo realizar las comprobaciones necesarias y las configuraciones requeridas.

Descripción del problema

En entornos de alta disponibilidad, es fundamental que las instancias de FortiGate se sincronicen adecuadamente. Si el FortiGate primario se reemplaza, se debe asegurar que las IP públicas y las configuraciones de la tabla de enrutamiento se transfieran sin errores. La falta de esta transferencia puede causar interrupciones en el servicio y afectar la conectividad de los usuarios finales.

Alcance

El enfoque principal de este artículo es la verificación de la configuración de IP y la tabla de enrutamiento en un entorno de FortiGate-VM en Azure.

Diagnóstico paso a paso

En un entorno de FortiGate HA con un conector SDN, asumiendo que la configuración IP es la siguiente:

FortiGate Activo:

port1 (external) - 172.17.0.4 (IP primaria) 172.17.0.6 (IP secundaria) 172.17.0.7 (IP secundaria)
port2 (internal) - 172.17.0.68
port3 (HASync) - 172.17.0.132
port4 (HAMgmt) - 172.17.0.196

FortiGate Pasivo:

port1 (external) - 172.17.0.5 (IP primaria) 172.17.0.8 (IP secundaria) 172.17.0.9 (IP secundaria)
port2 (internal) - 172.17.0.69
port3 (HASync) - 172.17.0.133
port4 (HAMgmt) - 172.17.0.196

Configuración del SDN (Active):

config system sdn-connector
edit "AzureSDN"
    set type azure
    set use-metadata-iam disable
    set ha-status enable
    set tenant-id "XXXXXX"
    set client-id "XXXXXX"
    set client-secret XXXXX
    set subscription-id "XXXXX"
    set resource-group "SYAO-RG"
        config nic
        edit "FGT-FGT-A-Nic1"
            config IP
            edit "ipconfig1"
                set public-ip "YAOS-FGT-PIP"
            next
            edit "ipconfig2"
                set public-ip "YAOS-FGT-PIP-2"
            next
            edit "ipconfig3"
                set public-ip "YAOS-FGT-PIP-3"
            next
            end
        next
        end
    config route-table
    edit "FGT-RouteTable-ProtectedSubnet"
        config route
        edit "toDefault"
        set next-hop "172.17.0.68"
        next
        end
    next
    end
end

Configuración del SDN (Secondary):

config system sdn-connector
edit "AzureSDN"
set type azure
set use-metadata-iam disable
set ha-status enable
set tenant-id "XXXXXX"
set client-id "XXXXXX"
set client-secret XXXXX
set subscription-id "XXXXX"
set resource-group "SYAO-RG"
config nic
edit "FGT-FGT-B-Nic1"
config ip
edit "ipconfig1"
set public-ip "YAOS-FGT-PIP"
next
edit "ipconfig2"
set public-ip "YAOS-FGT-PIP-2"
next
edit "ipconfig3"
set public-ip "YAOS-FGT-PIP-3"
next
end
next
end
config route-table
edit "FGT-RouteTable-ProtectedSubnet"
config route
edit "toDefault"
set next-hop "172.17.0.69"
next
end
next
end
end

Ejecuta los siguientes comandos de depuración en el FortiGate secundario:

diag deb app azd -1
diag deb app azd-ha -1
diag deb console timestamp enable
diag deb enable

1. FortiGate se identifica como el nodo primario en el clúster.
2. El conector SDN busca recursos dentro del grupo de recursos SYAO-RG.
3. Examina los recursos de IP pública y recupera sus IDs de configuración IP.

FGT-FGT-B # 2024-11-06 19:07:18 HA event
2024-11-06 19:07:21 HA state: primary
2024-11-06 19:07:21 AzureSDN: resourcegroup: SYAO-RG, sub: <--your subscription ID-->
2024-11-06 19:07:21 get pubip YAOS-FGT-PIP in resource group SYAO-RG
2024-11-06 19:07:21 found pub ip YAOS-FGT-PIP in resource group SYAO-RG
...
2024-11-06 19:07:21 Disable interface: port1
2024-11-06 19:07:22 Disable interface: port2

4. Desvincula las IP públicas de FGT-FGT-A-NIC1.
5. Vincula las IP públicas a FGT-FGT-B-NIC1.

2024-11-06 19:07:22 removing pubip
2024-11-06 19:07:22 query nic FGT-FGT-A-Nic1
2024-11-06 19:07:22 query nic FGT-FGT-A-Nic1, rc: 0
2024-11-06 19:07:22 remove public ip YAOS-FGT-PIP in ipconfig ipconfig1 of nic FGT-FGT-A-Nic1
...
2024-11-06 19:07:56 add public ip YAOS-FGT-PIP in ipconfig ipconfig1 of nic FGT-FGT-B-Nic1

6. Actualiza la entrada de ruta predeterminada en la tabla de rutas con una dirección IP de salto siguiente de 172.17.0.69.
7. Muestra la última configuración de interfaz de la VM.

2024-11-06 19:08:13 query route table FGT-RouteTable-ProtectedSubnet
...
2024-11-06 19:08:14 Enable interface: port1
2024-11-06 19:08:14 Enable interface: port2

También es posible comprobar los cambios desde el registro de eventos de actividad de Azure:

Eliminando la IP pública del FortiGate Primario:

Adjuntando la IP pública al FortiGate Secundario y actualizando la entrada de ruta:

Solución recomendada

Siguiendo los pasos anteriormente descritos, se deben asegurar las configuraciones necesarias para que la IP pública y la tabla de enrutamiento se transfieran correctamente al nuevo FortiGate primario. Esto garantiza que los servicios sigan funcionando sin interrupciones y que la seguridad de la red se mantenga intacta.

Comandos CLI utilizados

Los comandos clave para ejecutar este proceso han sido detallados a lo largo del artículo. Asegúrate de ejecutar los comandos en el contexto adecuado y de revisar las salidas para verificar que las configuraciones fueron aplicadas correctamente.

Buenas prácticas y recomendaciones

• Realiza siempre un respaldo de la configuración antes de realizar cambios significativos.
• Documenta todas las configuraciones y cambios realizados en la red para facilitar la resolución de problemas futuros.
• Monitorea el estado de la alta disponibilidad y verifica regularmente las interfaces y las IPs públicas.

Notas adicionales

Asegúrate de que todos los parámetros utilizados en las configuraciones se adaptan a tu entorno y políticas de seguridad. La personalización puede ser necesaria según las necesidades específicas de tu red. Mantente al tanto sobre las actualizaciones y mejores prácticas proporcionadas por Fortinet para garantizar un rendimiento óptimo y la seguridad de tus dispositivos.