Cómo resolver el estado de conexión caído entre FortiGate y los switches MCLAG tras una actualización

Después de actualizar los FortiSwitches, pueden surgir problemas de conexión entre FortiGate y los switches MCLAG, resultando en estados de conexión inactivos o inestables. Este artículo describirá cómo abordar este problema, por qué es crucial asegurar la sincronización entre los dispositivos y qué pasos seguir para resolverlo, garantizando así una configuración óptima.

Descripción del problema

Cuando FortiGate y FortiSwitches están conectados y configurados con switches MCLAG, es posible que, tras actualizar los FortiSwitches, el estado de conexión en la interfaz gráfica de FortiGate muestre que está inactivo o fluctuando. Este problema puede afectar la estabilidad de la red y la disponibilidad de servicios críticos.

Alcance

Este artículo se aplica a configuraciones que involucran FortiGate y FortiSwitches MCLAG.

Diagnóstico paso a paso

Los siguientes logs son necesarios para el diagnóstico en FortiGate:

• diagnose switch mclag-peer-consistency check <mclag_trunk_name>
• diagnose switch mclag icl

La salida mostrará los detalles de la coherencia de la configuración entre los switches y el estado de los puertos. A continuación, se describen ejemplos de comandos y las salidas esperadas:

Ejemplo de Comando: peer-consistency-check

diagnose switch mclag peer-consistency-check 8FFTF2304118

** Comparing "switch.trunk" config ....OK
** Comparing "switch.interface" config ....OK
** Comparing "switch.physical-port" config ....MISMATCH
admin-status <-- 
speed <-- 
flow-control <-- 
max-frame-size <-- 
** Comparing "switch.stp.instance" config ....MISMATCH
STP instances <--
STP Priority <--

Salida esperada

La salida de los comandos proporcionarán indicaciones sobre las configuraciones que son consistentes o que muestran desajustes (como se observa en la comparación de puertos físicos y configuraciones STP).

Ejemplo de Comando: Diagnose ICL

diagnose switch mclag icl

_FlInK1_ICL0_
model                     FortiSwitch-1024E
peer model                FortiSwitch-1024E
software                  v7.4.4,build0861,241004 (GA)
peer software             v7.4.2,build0801,231207 (GA) **peer software mismatch
icl-ports                 26
egress-block-ports        none
interface-mac            38:c0:ea:xx:xx:xx
local-serial-number      FS1E24T000000000
peer-mac                 38:c0:ea:yy:yy:yy
peer-serial-number       FS1E24T000000001
Local uptime             2 days 3h:35m: 0s
Peer uptime              238 days 5h:45m: 0s
MCLAG-STP-mac           38:c0:ea:9d:6d:0e
keepalive interval       1
keepalive timeout        60
dormant candidate        Peer
split-brain              Disabled

Solución recomendada

Para resolver las caídas de conexión, es esencial que los FortiSwitches en un entorno MC-LAG estén en el mismo firmware exacto. Fortinet recomienda actualizar los switches simultáneamente. Esto se puede llevar a cabo manualmente siguiendo estos pasos:

1. Acceder a Switch y Controlador de WiFi -> FortiSwitches gestionados.
2. Presionar la tecla Shift y seleccionar los dos switches deseados.
3. Después, seleccionar Actualizar.

Comandos CLI utilizados

Los comandos utilizados para el diagnóstico y solución del problema son:

• diagnose switch mclag-peer-consistency check
• diagnose switch mclag icl

Buenas prácticas y recomendaciones

Siempre que sea posible, realice las actualizaciones de firmware cuando los switches estén inactivos o durante horarios de bajo tráfico. Mantener un inventario de los firmware instalados en cada dispositivo también puede ayudar a prevenir desajustes en el futuro. Además, documente cualquier cambio realizado en la configuración para futuras referencias.

Notas adicionales

Si después de realizar las actualizaciones y verificaciones el problema persiste, es recomendable contactar con el soporte técnico de Fortinet para obtener asistencia adicional, asegurando así que todas las configuraciones estén adecuadamente optimizadas y sin conflictos.