En entornos de alta disponibilidad (HA) de FortiGate en Amazon Web Services (AWS) con múltiples zonas, es crucial entender cómo re-asignar direcciones IP públicas secundarias durante un failover. Este artículo aborda el proceso y los comandos necesarios para garantizar que la configuración de la red siga siendo funcional y eficiente, ayudando a prevenir interrupciones en el servicio.
Índice
Descripción del problema
Cuando se produce un failover de FortiGate HA en un entorno de AWS con múltiples zonas, las direcciones IP asignadas pueden no transferirse automáticamente. Esto se hace más complejo si hay varias IP públicas mapeadas a IPs privadas. Es fundamental gestionar correctamente estas asignaciones para mantener la continuidad del servicio.
Alcance
Este artículo se centra en la configuración de FortiGate HA en AWS, específicamente en cómo manejar la re-asignación de IPs en un entorno de múltiples zonas.
Diagnóstico paso a paso
En un entorno típico de AWS, los dispositivos FortiGate en alta disponibilidad (HA) tendrán un rango de direcciones IP diferente. La configuración debe incluir secundarias en ambas instancias de FortiGate. Se muestran a continuación ejemplos de cómo configurarlo.
A continuación se presenta un esquema de las IPs secundarias y públicas en un FortiGate HA:
Solución recomendada
Los dispositivos FortiGate primario y secundario necesitan estar configurados para manejar las IP públicas de forma efectiva durante el failover. El FortiGate primario debe tener asignadas sus IPs secundarias junto con las IPs públicas. Esto evitará problemas de conectividad cuando se produce un cambio de estado HA.
Es crucial que las IPs públicas estén correctamente asignadas en el FortiGate primario. Un ejemplo visual de la configuración se presenta a continuación:
Comandos CLI utilizados
A continuación se presentan algunos comandos CLI clave que pueden ayudar en el diagnóstico y la re-asignación de IPs:
AWS-HA-Passive # diagnose debug application awsd -1Este comando habilita el modo de depuración para el servicio awsd, lo cual es útil para monitorear el estado del HA y las actividades relacionadas con las IPs.
Algunos mensajes esperados en el registro de depuración incluyen:
AWS-HA-Passive # awsd running in secondary mode, won't update
HA event
HA state: primary
awsd associate elastic ip 99.80.137.76 successfully
...Buenas prácticas y recomendaciones
- Validar que todas las IPs públicas están correctamente asignadas antes de realizar un failover.
- Utilizar la depuración para supervisar el estado del failover y la asignación de IPs.
- Hacer respaldos de la configuración de las IPs antes de implementar cambios significativos.
Notas adicionales
Es importante considerar que la asignación de IPs públicas se debe hacer en secuencia y seguir un proceso adecuado para evitar errores en la red. Para más detalles sobre la implementación de HA en AWS, se puede consultar la guía oficial de Fortinet.
Desplegando FortiGate-VM HA activa/pasiva en AWS entre múltiples zonas.
¿Te ha resultado útil??
0 / 0
Hola, somos Mila Jiménez y César Sánchez. Dos apasionados de la ciberseguridad con muchos años de experiencia. Hemos trabajado en muchas empresas del mundo TI y ahora nos apetece compartir nuestro conocimiento con cualquiera que lo necesite.
¡Si te gusta nuestro contenido puedes invitarnos a un café AQUÍ!