Cómo solucionar el fallo en la conmutación por error al servidor real ZTNA cuando se configura una ruta de agujero negro en Fortinet

En este artículo abordamos un problema relacionado con la sincronización en servidores de respaldo de FortiGate. Este inconveniente se presenta cuando un servidor real activo se apaga y la conmutación por error a un servidor en espera falla, provocando errores de conectividad, como el error 504. A continuación, se detallarán las causas de este problema y cómo solucionarlo de manera efectiva.

Descripción del problema

El problema radica en que la conmutación por error a un servidor real en espera falla cuando uno de los servidores reales activos deja de funcionar. Esto se debe a que se ha configurado una ruta de agujero negro para la dirección IP del servidor real. La falta de conmutación adecuada puede llevar a la interrupción del servicio y afectar la disponibilidad de las aplicaciones alojadas.

Alcance

Este artículo es aplicable a las versiones de FortiGate v7.4.4 y v7.4.5.

Diagnóstico paso a paso

Para diagnosticar la situación, debe realizar los siguientes pasos:

1. Verifique la configuración de los servidores reales utilizando el comando:

config firewall access-proxy

2. Examinar el estado del chequeo de salud de los servidores reales.

diag wad access-proxy health-check status

3. Observe el resultado de las monitorizaciones del enlace. Si el servidor principal está marcado como ‘muerto’, pero los estados operacionales indican ‘vivo’, se identificará la discrepancia que causa el fallo.

Solución recomendada

Para resolver el problema, asegúrese de que la configuración del servidor ZTNA esté correctamente ajustada. A continuación, se presenta un ejemplo de configuración que incluye el chequeo de salud habilitado:

config firewall access-proxy
    edit "ztna_server_http"
        set vip "ztna_server_http"
        config api-gateway
            edit 1
                config realservers
                    edit 1
                        set ip 172.16.200.207
                        set health-check enable
                    next
                    edit 2
                        set ip 172.16.200.209
                        set status standby
                        set health-check enable
                        set holddown-interval disable
                    next
                end
            next
        end
    next
end

Además, configure correctamente la ruta estática de agujero negro:

config router static
    edit 0
        set status enable
        set dst 172.16.200.207 255.255.255.255
        set blackhole enable
    next
end

Con esta configuración, cuando el monitor de enlace detecte que el servidor real principal (172.16.200.207) está ‘muerto’, se intentará la conmutación por error al servidor en espera (172.16.200.209).

Comandos CLI utilizados

A continuación, se indican algunos de los comandos CLI que pueden ser necesarios para el diagnóstico y la solución:

• diagnose wad access-proxy health-check status – Este comando permite verificar el estado de los chequeos de salud de los servidores.
• diag wad debug enable all – Habilita todos los depuradores de WAD para una investigación más profunda.
• diagnose debug reset – Reinicia la depuración del FortiGate después de capturar los datos necesarios.
• execute tac report – Captura un informe para el soporte técnico de FortiGate.

Buenas prácticas y recomendaciones

Es fundamental seguir algunas buenas prácticas para garantizar un funcionamiento óptimo:

• Evite la configuración de rutas de agujero negro innecesarias para direcciones IP de servidores críticos.
• Realice pruebas regulares de conmutación por error para asegurar que los servidores de respaldo estén listos para asumir la carga si es necesario.
• Mantenga el firmware de los dispositivos FortiGate actualizado para evitar la aparición de errores conocidos.

Notas adicionales

Este problema fue resuelto en la versión v7.6.0. Asegúrese de mantener su dispositivo actualizado para beneficiarse de las correcciones y mejoras más recientes.

Logs necesarios para la investigación de FortiGate TAC:

diagnose wad filter src 
diagnose wad debug enable all
diagnose wad debug enable category all
diagnose wad debug enable level verbose
diagnose wad access-proxy health-check status
diagnose debug enable

Una vez que se capturen los datos en el momento del problema, restablezca los depuradores usando el comando ‘diagnose debug reset’ y capture el informe TAC usando la configuración ‘execute tac report’.