UTM/NET/Cluster: Unterschied zwischen den Versionen

Version vom 20. Juli 2022, 11:12 Uhr

Securepoint Cluster Konfiguration - Best Practice

Letzte Anpassung: 12.1

Neu:

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

11.7

Aktuelle Software
Es sollte immer die neueste Version der Software installiert werden.
Nur in der aktuellen Version sind die neusten Funktionen, Sicherheits-Erweiterungen und Fehlerkorrekturen enthalten.

Einsatzgebiete

Durch Einsatz der UTM in einem Hot-Standby-Cluster kann eine Hochverfügbarkeit der UTM gewährleistet werden.
Die UTMs innerhalb des Clusters überwachen sich gegenseitig und schalten bei Bedarf automatisch auf das Gerät mit dem besten Status um. Ein Eingriff des Administrators ist nicht notwendig.

[[Datei: ]]

Abb.: 1.1

Einrichtung

Bei der Einrichtung des UTM-Clusters werden zwei UTMs mit identischer Firmware über eine Hotwire-Schnittstelle verbunden. Die Installation mit dem „Cluster Setup Wizard“ wird auf der Ursprungs-UTM ausgeführt, die im dann erstellten Cluster der MASTER sein wird. Mit dieser UTM wird die Synchronisierung der Konfiguration durchgeführt. Auf der Spare-UTM, die im Cluster das BACKUP sein wird, werden bei der Installation die Hotwire-Schnittstelle definiert sowie ein SSH-Schlüssel erzeugt. Auch wird auf der Spare der SSH-Schlüssel des MASTER eingetragen.
Die aktive UTM im Cluster, hat die höhere Priorität und wird als MASTER bezeichnet.
Die UTM mit der niedrigeren Priorität, die passive UTM, ist das BACKUP.

Voraussetzungen

Zum Cluster-Betrieb sind folgende Voraussetzungen notwendig:

Eine Cluster-Master-Lizenz
Eine Cluster-Spare-Lizenz

Zur Konfiguration und den Betrieb des UTM-Clusters wird eine gültige Cluster-Lizenz benötigt, die zwei unterschiedliche Lizenzen beinhaltet und die im Securepoint Reseller Portal beantragt werden kann.

Endkunden wenden sich bitte an Ihren autorisierten Securepoint Reseller.
Die Menüpunkte zur Cluster-Konfiguration sind sichtbar, sobald eine Cluster-Lizenz eingespielt ist.

Zwei identische Appliances^* mit mindestens 3 Ethernet Schnittstellen und gleicher Firmware

Im kleinsten Szenario sind eine Eingangs-Schnittstelle (internes LAN) und eine Ausgangs-Schnittstelle (externes LAN) sowie die dritte freie Schnittstelle vorhanden. Diese, im Folgenden auch als Hotwire-Schnittstelle bezeichnet, wird für den Abgleich der Konfiguration und das Connection-Tracking benötigt. Sie kann keine weitere Netzwerkfunktion übernehmen.

* Der Betrieb einer RC300 G3 und einer RC340 G3 in einem gemeinsamen Cluster ist freigegeben. Andere Konstellationen werden nicht unterstützt.

Die eingesetzten Switches und Router unterstützen gratuitous ARP

Kommt es im UTM-Cluster zum Master-/Backup-Wechsel, sendet die jetzt aktive UTM gratuitous ARP Pakete an ihre Umgebung, um die neuen MAC-Adresse bekannt zu geben.
Unterstützen die Switches bzw. Router diese Funktion nicht, können sie nur verzögert über die aktive UTM kommunizieren.

Funktionsweise des Clusters

[[Datei:|hochkant=2|mini|Abb.: 1.2 ]]

Der Cluster verwendet eindeutige IP- und MAC-Adressen für die beiden Mitglieder des Clusters sowie virtuelle IP-Adressen für den Cluster selber
Die virtuellen IP-Adressen sind allein auf dem aktiven Mitglied des UTM-Clusters aktiv
Fällt das aktive Mitglied des Clusters ganz oder teilweise aus, so wechseln die virtuellen IP-Adressen zum zweiten Mitglied des Clusters
Für die Clients und Server in einer Clusterkonfiguration, ist die virtuelle IP-Adresse der Kommunikationspartner im Routing

Das Cluster VRR Protokoll

VRRP (Virtual Router Redundancy Protocol) ist das Kommunikationsprotokoll des Clusters. Es ist einzig auf den Schnittstellen aktiv, die als High-AvailabilitySchnittstelle konfiguriert sind. Über dieses Protokoll versendet der Master des UTM-Clusters Datenpakete an das Backup. Empfängt das Backup keine Datenpakete, so stuft es sich zum Master hoch.

Mit Hilfe von tcpdump kann das Protokoll auf einer HA-Schnittstelle sichtbar gemacht werden (siehe Abb.)

Es sind keine speziellen Firewall Regeln notwendig, um die Kommunikation mit dem VRR-Protokoll zu ermöglichen.

Umschalten des Clusters

Folgende Zustände bzw. Ereignisse lösen ein Umschalten innerhalb des Clusters aus:

Das aktive Mitglied eines Clusters wird neu gestartet oder ganz heruntergefahren.
Eine oder mehrere HA-Schnittstellen haben keinen physikalischen Link mehr.
Der Link einer HA-Schnittstelle ist aktiv, aber aufgrund eines defekten oder falsch konfigurierten Switches kommen die VRRP Pakete nicht beim Cluster Partner an.
Die Cluster Funktion wird auf dem aktiven Cluster-Partner durch den Administrator deaktiviert.

Sind mehr als zwei HA-Schnittstellen aktiviert, besteht im Fehlerfall die Möglichkeit, dass eine unterschiedliche Anzahl von HA-Schnittstellen nicht mehr kommunizieren können. In diesem Fall wird die UTM das aktive Mitglied werden, auf der die meisten Schnittstellen einen Link haben, solange sich die UTMs über wenigstens einer HA-Schnittstelle noch sehen. Sehen sich die UTMs auf keiner Schnittstelle mehr, gehen beide davon aus, dass das zweite Mitglied des Clusters nicht mehr vorhanden ist und beide werden zum Master.

Tabelle, Verhalten im Cluster, Beispiel zwei HA-Schnittstellen:

HA-Schnittstelle 1	HA-Schnittstelle 2	UTM 1 Status	UTM 2 Status
UTM 1 UP , UTM 2 UP	UTM 1 UP , UTM 2 UP	Aktiv	Passiv
UTM 1 DOWN , UTM 2 UP	UTM 1 UP , UTM 2 UP	Passiv	Aktiv
UTM 1 DOWN , UTM 2 DOWN	UTM 1 UP , UTM 2 UP	Aktiv	Passiv
UTM 1 DOWN , UTM 2 DOWN	UTM 1 UP , UTM 2 DOWN	Aktiv	Aktiv
UTM 1 DOWN , UTM 2 DOWN	UTM 1 DOWN , UTM 2 DOWN	Aktiv	Aktiv

Hierbei ist zu beachten, dass UTM-1 eine höhere Priorität als UTM-2 hat. Ist der Zustand in der Tabelle aktiv und als rot gekennzeichnet bedeutet das, dass sich die beiden Mitglieder des Clusters nicht mehr sehen und davon ausgehen, dass der jeweils andere Partner nicht mehr vorhanden ist. Beide Mitglieder des Clusters sind dann aktiv. Eine Netzwerkkommunikation ist dann allerdings generell nicht mehr möglich, da das Problem in der Umgebung liegt.

Fallback im Cluster

Ist gleichzeitig ein Fallback konfiguriert und ein fehlgeschlagener Ping-Check löst das Umschalten auf die Spare aus und diese registriert ebenfalls einen fehlgeschlagenen Ping-Check, wird sie den Master wieder an den ursprünglichen Master zurückgeben.
Hier entscheidet nun die Priorität, da beide Maschinen gleichwertig beeinträchtigt sind und das Fallback der Master wird aktiv.

Hotwire Schnittstelle

Abb.: 1.3

Die Hotwire-Schnittstelle ist eine exklusive Schnittstelle, die nur zum Synchronisieren der Konfiguration der Cluster-Mitglieder und Abgleich der laufenden Verbindungen (Connection-Tracking) verwendet wird. Diese Schnittstelle hat exklusiv diese Aufgabe. Bei der Auswahl der Appliances muss darauf geachtet werden, daß für das Hotwire-Netz jeweils eine Schnittstelle frei sein muss.
Für die Synchronisation der Konfiguration wird das SSH-Protokoll (TCP/22) verwendet. Das Connection-Tracking wird über den Port 3780 (UDP) abgeglichen. Ist eine Ethernet-Schnittstelle als Hotwire gekennzeichnet, werden die Regeln für die Kommunikation automatisch generiert. Für die SSH-Verbindung müssen öffentliche Schlüssel zwischen den Mitgliedern des UTM-Clusters ausgetauscht werden. Der Abgleich der Konfiguration kann in beide Richtungen zwischen den Mitgliedern des Clusters erfolgen. Das Connection-Tracking wird immer automatisch vom Master im Cluster zum Backup übertragen (Abb. 1.3).

Die Hotwire-Verbindung soll immer über eine direkte Kabelverbindung erfolgen (kein Switch etc. dazwischen).
Es muss sichergestellt werden, dass niemand zu dem Zeitpunkt administrativ das Mitglied des Clusters verwendet, zu dem synchronisiert werden soll.

Konfiguration abgleichen

Über die Hotwire-Schnittstelle wird die jeweilige Start-Konfiguration synchronisiert. Änderungen, die auf einer Maschine im Cluster gemacht wurden, werden über diese Schnittstelle auf das andere Gerät übertragen. In der Regel wird die Konfiguration, nach der Inbetriebnahme des Clusters, allein auf einer UTM durchgeführt. Wir empfehlen den Master zu verwenden.

Der Abgleich erfolgt immer manuell. Der Administrator entscheidet, wann er die Konfiguration im UTM-Cluster abgleichen möchte.

Folgende Teile der Konfiguration werden nicht abgeglichen:

IP-Adressen die eindeutig zu einer Maschine gehören und die auf Ethernet- oder VLAN- Schnittstellen konfiguriert wurden.
Das sind die IP-Adressen, die im Webinterface unter dem Punkt Netzwerk Netzwerkkonfiguration eingestellt werden. Wird ein Ethernet- oder VLAN-Schnittstelle neu erzeugt, wird dies zwar übertragen, jedoch nicht die Information über die IP-Adressen dieser Schnittstellen. Diese müssen bei Bedarf manuell auf dem Cluster-Mitglied konfiguriert werden, denn sie sind immer eindeutig einer UTM zugewiesen. Diese IP-Adressen sind nicht zu verwechseln mit virtuellen IP-Adressen auf einer HA-Schnittstelle, die sich beide Maschinen im Cluster teilen.
Active Directory-Appliance-Account.
Dieser Account ist immer eindeutig im AD. Man erstellt unterschiedliche Namen auf beiden Maschinen und meldet jede separat am Active Directory an.

Es ist nicht zwingend notwendig, eindeutige IP-Adressen auf Schnittstellen zu konfigurieren, auf denen eine HA-Schnittstelle mit virtuellen IP-Adressen betrieben wird.
In dem Fall gelangt man über die virtuelle IP-Adresse auf die UTM, die in dem Augenblick der Master ist.
Soll über diese Schnittstelle das Mitglied des UTM-Clusters eindeutig identifiziert werden, ist es jedoch erforderlich eine eindeutige IP-Adresse zu konfigurieren.

Konfiguration von Austauschgeräten

Ist ein Gerät defekt und muss ersetzt werden, muss die Konfiguration exakt dieser Maschine auf dem neuen Gerät wieder hergestellt werden.
(Es darf z.B. nicht die Konfiguration der Master auf die Spare eingespielt werden um dann lediglich die IP Adressen zu ändern).
Liegt weder ein lokales, noch ein Cloud Backup der Konfiguration vor, kann das Ersatzgerät mit einer neuen Konfiguration in den Cluster eingebunden werden.
Dazu sind die Einrichtungsschritte als Spare so vorzunehmen, wie sie untenstehend beschrieben sind: • Spare UTM bei externem Modem • Spare UTM bei externem Router

Die SSH-Keys müssen dabei beide aus dem aktuell aktiven Gerät vice versa in das jeweilige Pendant kopiert werden

Bei einem Austauschgerät muss die Priorität gemäß des zukünftigen Einsatzzweckes auf für Master bzw. auf für Spare gestellt werden.

Beispiel-Konfiguration 1: Externes DSL-Modem

In diesem Beispiel wird eine Konfiguration aufgezeigt, mit der ein UTM-Cluster an einem DSL-Modem betrieben werden kann. Die Einwahl erfolgt direkt durch die UTM.

Netzwerkkonfiguration

Erstes Mitglied des Clusters (UTM 1, Master)
LAN1: Externe DSL Verbindung mittels PPPoE.
LAN2: Interne IP-Adresse: 192.168.12.141/24
LAN3: Hotwire-IP-Adresse:192.168.180.2/24

Zweites Mitglied des Clusters (UTM 2, Spare)
LAN1: Externe DSL Verbindung mittels PPPoE.
LAN2: Interne IP-Adresse:192.168.12.142/24
LAN3: Hotwire-IP-Adresse:192.168.180.3/24

Als virtuelle IP-Adresse für die internen Schnittstellen LAN2 wird 192.168.200.1/24 definiert.
Diese IP-Adresse ist das Standard-Gateway des internen Netzwerks.

Bei Verwendung des DHCP-Servers, darf die Virtuelle IP-Adresse nicht im gleichen Netz wie die physische IP Adresse der Schnittstelle sein.
Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren.

Inbetriebnahme der UTMs

Zur Inbetriebnahme des UTM-Clusters wird zunächst der Installationsassistent verwendet
Zur Anmeldung auf der UTM wird bereits eine (Cluster-) Lizenz benötigt
Um eine Doppeleinwahl zu unterbinden, sollte das DSL-Modem nicht angeschlossen sein
Die Konfiguration der beiden UTMs unterscheidet sich bis zu diesem Zeitpunkt allein durch die interne und externe IP-Adresse
Nach Abschluss des Assistenten werden die UTMs neu gestartet

Hotwire Schnittstelle

Die UTMs werden nun physikalisch über die ausgewählte Hotwire-Schnittstelle verbunden.
Diese muss auf den Maschinen den gleichen Port belegen - Bezeichnung je nach verwendeter Hard- und Software A2, eth2 oder LAN3.

Cluster-Konfiguration

Die UTMs haben innerhalb des Clusters eine unterschiedliche Priorität
Die höhere Priorität hat das aktive Gerät (Master), die niedrigere das Backup-System Spare
In unserem Beispiel wird die UTM mit der eindeutigen internen IP-Adresse 192.168.12.141 Master sein
Login über das Webinterface mit dieser IP und dem Port für Administration (Default: 11115)

Cluster-Konfiguration
Master-UTM Master-UTM
IP-Adressen der zukünftigen Hotwire-Schnittstellen
Master → Netzwerk →Netzwerkkonfiguration eth2 → IP-Adressen:
IP-Adressen:	»192.168.180.2/24	In der Clickbox wird die IP-Adresse der zukünftigen Hotwire-Schnittstelle hinzugefügt. Im Beispiel bekommt LAN3/A2 der Master die IP-Adresse 192.168.180.2/24.	Abb.: 1.4
			Abb.: 1.4

Start des Cluster-Setup-Wizard unter Master → Netzwerk →Clusterkonfiguration Cluster Assistent
Cluster Assistent Schritt 1
Hotwire Schnittstelle:	eth2: 192.168.180.2/24	Auf beiden Geräten muss die gleiche Schnittstelle gewählt werden!	[[Datei: ]] Abb.: 1.5
Lokale IP‑Adresse:	192.168.180.2/24	IP-Adresse der Master-UTM
Remote IP‑Adresse:	192.168.180.3	IP-Adresse der Hotwire-Gegenstelle (Spare-UTM)

Cluster Assistent Schritt 2
Schnittstelle:	eth1	Das zukünftige HA-Interface. Im Beispiel die interne Schnittstelle.	[[Datei:]] Abb.: 1.6
Virtuelle IP‑Adresse:	192.168.200.1/24	Die virtuelle IP-Adresse soll 192.168.200.1 sein. Es können auf einer HA-Schnittstelle auch mehrere virtuelle IP-Adressen liegen.
Bei Verwendung der UTM als DHCP-Server darf die virtuelle IP-Adresse nicht in der gleichen Broadcast Domain liegen, in der die Master- und Spare-UTM sind. Der DHCP-Server würde sich sonst beim Fallback auf die physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren. Nachdem der Wizard durchlaufen wurde, können auch weitere HA-Schnittstellen konfiguriert werden.

Cluster Assistent Schritt 3
Deaktivierte Schnittstellen während das Gerät im Backup Modus ist: wan0		Schnittstellen, die auf dem Backup-System, der Spare-UTM, nicht hochgefahren werden. Im Beispiel wan0 (das DSL Interface). Die Einwahl soll nur durch die gerade aktive Master-UTM im Cluster erfolgen. Dadurch ist es möglich, beide externen Interfaces der UTMs an das DSL Modem anzuschließen. Falls das Modem nur einen LAN Port besitzt, ist ein separater Switch zu verwenden.	[[Datei: ]] Abb.: 1.7
			[[Datei: ]] Abb.: 1.7
Cluster Assistent Schritt 4
Deaktivierte Anwendungen während das Gerät im Backup Modus ist:Clientless VPN DHCP Server Greylisting Filter HTTP Proxy IPSEC L2TP VPN Mailrelay POP3 Proxy Routing Daemon SPF Filter SSL-VPN Spamfilter WLAN ServerDefault		Hier sind Anwendungen aufgeführt, die per Default deaktiviert sein sollen, sofern sich die Spare-UTM im Backup-Modus befindet.	[[Datei: ]] Abb.: 1.8
			[[Datei: ]] Abb.: 1.8
Cluster Assistent Schritt 5
Priorität	Hoch	Die Master-UTM erhält die Priorität »hoch«.	[[Datei: ]] Abb.: 1.9
	insecure	Die Passphrase für die Kommunikation der beiden UTMs auf den HA-Schnittstellen (VRR Protokoll)
Cluster Assistent abschließen mit Fertig


Status der Clusterkonfiguration
Master → Netzwerk →ClusterkonfigurationReiter Schnittstellen
eth1	Schnittstelle benutzt für High Availability	Virtuelle IP 192.168.200.1/24 IP-Adresse: 192.168.12.141/24	Abb.: 1.10
eth2	Schnittstelle wird benutzt als Hotwire	IP-Adresse 192.168.180.2/24
wan0	Schnittstelle ist beim Backup deaktiviert
Clusterstatus		Der Clusterstatus zeigt offline (schwarz) an, weil der Cluster noch nicht auf aktiv geschaltet ist
Synchronisationsstatus:		Der Synchronisationsstatus zeigt error' (rot), weil die Gegenstelle nicht erreichbar ist
Einstellungen für die Clusterkonfiguration
Master → Netzwerk →ClusterkonfigurationReiter Einstellungen
Lokaler SSH-Schlüssel:	Neuen lokalen SSH-Schlüssel generieren	Im Reiter Einstellungen wird ein SSH Public Key erzeugt.	Abb.: 1.11
Lokaler SSH-Schlüssel:	ssh-rsa AAAAB3Nz […] zE0SU= root@master.cluster.local	SSH-Schlüssel in die Zwischenablage kopieren


Spare-UTM Spare UTM
Konfiguration der Spare-Schnittstelle
Login auf das Web-Interface der Spare-UTM. Spare → Netzwerk →ClusterkonfigurationReiter Schnittstellen Schaltfläche
	eth2	eth2 Schnittstelle bearbeiten	Abb.: 1.12
Verwendung:	Schnittstelle als Hotwire benutzen	Die Schnittstelle LAN3 der Spare-UTM wird als Hotwire gekennzeichnet.
Lokale IP‑Adresse:	192.168.180.3/24	IP-Adresse der Spare-UTM, die für Hotwire verwendet werden soll.
Remote IP‑Adresse:	192.168.180.2	IP-Adresse der bereits konfigurierten Master-UTM, die als Hotwire angesprochen werden soll.
Einstellungen für die Clusterkonfiguration
Spare → Netzwerk →ClusterkonfigurationReiter Einstellungen
Priorität	Niedrig	Die Priorität beim Spare muss auf Niedrig gestellt sein	Abb.: 1.13
	insecure	Die Passphrase für die Kommunikation der beiden UTMs auf den HA-Schnittstellen (VRR Protokoll)
Lokaler SSH-Schlüssel:	Neuen lokalen SSH-Schlüssel generieren	SSH Public Key für die Spare-UTM erzeugen
Lokaler SSH-Schlüssel:	ssh-rsa AAAAB3Nz […] Q1/k= root@spare.cluster.local	SSH-Schlüssel noch nicht in die Zwischenablage kopieren
Schlüssel der Gegenstelle:	ssh-rsa AAAAB3Nz […] zE0SU= root@master.cluster.local	Public-SSH-Key der Master-UTM aus der Zwischenablage einfügen
Lokaler SSH-Schlüssel:	Jetzt den lokalen Public-SSH-Key der Spare-UTM in die Zwischenablage einfügen.

Wechsel auf Master → Netzwerk →Clusterkonfiguration Einstellungen
Schlüssel der Gegenstelle:	ssh-rsa AAAAB3Nz […] Q1/k= root@spare.cluster.local	Public-Key der Spare-UTM aus der Zwischenablage einfügen. Auf der Master-UTM entspricht die Spare-UTM der Gegenstelle
Auf beiden Seiten sollte sich nun ein lokaler SSH Schlüssel und jeweils der SSH Schlüssel der Gegenstelle befinden. Speichern der Einstellungen auf beiden UTMs in diesem Dialog durch Betätigung der Speichern Schaltfläche.
Synchronisationsstatus:		Der Synchronisationsstatus sollte nun von error (rot) zu pending (gelb) wechseln. Das bedeutet, die beiden UTMs sehen sich über die Hotwire-Schnittstelle, jedoch ist die Konfiguration noch nicht synchronisiert. notempty Neu ab v12.8.0 Außerdem ist dieser Status an Folgendem zu erkennen: Hinweis im Header "nicht synchronisiert", Warnzeichen im Seitenmenü, Hinweis beim Aufrufen des Admin-Webinterfaces der Master-UTM .
Master Konfiguration synchronisieren
Synchronisationsstatus:		Wenn die Synchronisation erfolgreich abgeschlossen wurde, steht jetzt der Synchronisationsstatus auf synchronized (grün). Die beiden UTMs sind abgeglichen. Dieser Vorgang kann überprüft werden, indem auf der Spare-UTM eine Konfiguration aufgerufen wird, die im Master verändert wurde. Die Cluster Priorität Netzwerk Clusterkonfiguration Bereich Einstellungen der Spare-UTM (Backup) wurde automatisch auf niedrig gestellt. Würde die Priorität auf der jetzigen Spare-UTM auf hoch gestellt und von da aus auch die Konfiguration synchronisiert werden, würde die erste Maschine automatisch zum Spare degradiert und die vormalige Spare-UTM zum Master.
Cluster aktivieren
Master & Spare → Netzwerk →ClusterkonfigurationReiter Einstellungen
Externe Interfaces an das DSL-Modem anschließen			[[Datei:]] Abb.: 1.14
	Ein	Dieser Schritt muss auf beiden UTMs ausgeführt werden.
Clusterstatus	Auf der Master-UTM:	Der Cluster ist nun in Betrieb und der Master des Clusters hat die virtuelle IP-Adresse 192.168.200.1 auf dem internen Interface.
Clusterstatus	Auf der Spare-UTM:	Die Spare-UTM läuft als Hot-Standby im Backup-Modus im Hintergrund

Sollte der Status nicht sofort aktualisiert werden, kann das auch hier wieder über die Schaltfläche zum Aktualisieren manuell ausgelöst werden.

Beispiel Konfiguration 2: Externer Router

In diesem Beispiel wird eine Konfiguration mit einem externen Router beschrieben.
Der Router ist das Gateway zum Internet.
Eventuell wurde vom Provider ein öffentliches Netz zur Verfügung gestellt.
In diesem Beispiel wird ein privates Netz verwendet. Die Vorgehensweise ist dann analog zum öffentlichen Netz.
Hier werden nun zwei HA-Schnittstellen konfiguriert.
Eine für die interne und eine für die externe Schnittstelle.

Netzwerkkonfiguration

Erstes Mitglied des Clusters (UTM 1, Master)
LAN1: Externe IP Adresse (zum Router) 192.168.175.102/24
LAN2: Interne IP-Adresse: 192.168.12.141/24
LAN3: Hotwire-IP-Adresse: 192.168.180.2/24

Zweites Mitglied des Clusters (UTM 2, Spare)
LAN1: Externe IP Adresse (zum Router) 192.168.175.103/24
LAN2: Interne IP-Adresse: 192.168.12.142/24
LAN3: Hotwire-IP-Adresse: 192.168.180.3/24

Virtuelle IP-Adressen, die sich beide Mitglieder des Clusters teilen:
Externe Schnittstellen (zum Router) 192.168.175.101/24.
Interne Schnittstellen 192.168.200.1/24 | Diese IP ist das Standard-Gateway des internen Netzwerks.

Inbetriebnahme der UTMs

Hotwire Schnittstelle

Die UTMs werden nun physikalisch über die ausgewählte Hotwire-Schnittstelle verbunden.
Diese muss auf den Maschinen den gleichen Port belegen - Bezeichnung je nach verwendeter Hard- und Software A2, eth2 oder LAN3.

Cluster-Konfiguration

Cluster-Konfiguration
Master UTM Master UTM
IP-Adressen der zukünftigen Hotwire-Schnittstellen
Master → Netzwerk →Netzwerkkonfiguration eth2 → IP-Adressen:
IP-Adressen::	»192.168.180.2/24	In der Clickbox wird die IP-Adresse der zukünftigen Hotwire-Schnittstelle hinzugefügt. Im Beispiel bekommt LAN3/A2 der Master die IP-Adresse 192.168.180.2/24.	Abb.: 1.4
			Abb.: 1.4

Start des Cluster-Setup-Wizard unter Master → Netzwerk →ClusterkonfigurationReiter Cluster Assistent Schaltfläche +
Cluster Assistent Schritt 1
Hotwire Schnittstelle	eth2: 192.168.180.2/24	Auf beiden Geräten muss die gleiche Schnittstelle gewählt werden!	Abb.: 1.5
Lokale IP‑Adresse:	192.168.180.2/24	IP-Adresse der Master-UTM
Remote IP‑Adresse:	192.168.180.3	IP-Adresse der Hotwire-Gegenstelle (Spare-UTM)

Cluster Assistent Schritt 2
Schnittstelle:	eth1	Das zukünftige HA-Interface. Im Beispiel die interne Schnittstelle.	[[Datei: ]] Abb.: 1.6
Virtuelle IP‑Adresse:	192.168.200.1/24	Die virtuelle IP-Adresse soll 192.168.200.1 sein. Es können auf einer HA-Schnittstelle auch mehrere virtuelle IP-Adressen liegen.
Bei Verwendung der UTM als DHCP-Server darf die virtuelle IP-Adresse nicht in der gleichen Broadcast Domain liegen, in der die Master- und Spare-UTM sind. Der DHCP-Server würde sich sonst beim Fallback auf die physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren. Nachdem der Wizard durchlaufen wurde, können auch weitere HA-Schnittstellen konfiguriert werden.
Cluster Assistent Schritt 3
Deaktivierte Schnittstellen während das Gerät im Backup Modus ist:		Schnittstellen, die auf dem Backup-System, der Spare-UTM, nicht hochgefahren werden. In dieser Konfiguration ist das nicht erforderlich	[[Datei: ]] Abb.: 1.7
			[[Datei: ]] Abb.: 1.7
Cluster Assistent Schritt 4
Deaktivierte Anwendungen während das Gerät im Backup Modus ist:Clientless VPN DHCP Server Greylisting Filter HTTP Proxy IPSEC L2TP VPN Mailrelay POP3 Proxy Routing Daemon SPF Filter SSL-VPN Spamfilter WLAN ServerDefault		Hier sind Anwendungen aufgeführt, die per Default deaktiviert sein sollen, sofern sich die Spare-UTM im Backup-Modus befindet.	Abb.: 1.8
			Abb.: 1.8
Cluster Assistent Schritt 5
Priorität	Hoch	Die Master-UTM erhält die Priorität »hoch«.	[[Datei: ]] Abb.: 1.9
	insecure	Die Passphrase für die Kommunikation der beiden UTMs auf den HA-Schnittstellen (VRR Protokoll)
Cluster Assistent abschließen mit Fertig


Status der Clusterkonfiguration
Master → Netzwerk →ClusterkonfigurationReiter Schnittstellen
eth0	(Schnittstelle ist noch nicht für HA konfiguriert)	IP-Adresse 192.168.175.102/24	Abb.: 1.10
eth1	Schnittstelle benutzt für High Availability	Virtuelle IP 192.168.200.1/24 IP-Adresse: 192.168.12.141/24
eth2	Schnittstelle wird benutzt als Hotwire	IP-Adresse 192.168.180.2/24
wan0	Schnittstelle ist beim Backup deaktiviert
Clusterstatus		Der Clusterstatus zeigt offline (schwarz) an, weil der Cluster noch nicht auf aktiv geschaltet ist
Synchronisationsstatus:		Der Synchronisationsstatus zeigt error' (rot), weil die Gegenstelle nicht erreichbar ist
Einstellungen für die Clusterkonfiguration
Master → Netzwerk →ClusterkonfigurationReiter Einstellungen
Lokaler SSH-Schlüssel:	Neuen lokalen SSH-Schlüssel generieren	Im Reiter Einstellungen wird ein SSH Public Key erzeugt.	Abb.: 1.11
Lokaler SSH-Schlüssel:	ssh-rsa AAAAB3Nz […] zE0SU= root@master.cluster.local	SSH-Schlüssel in die Zwischenablage kopieren


Spare UTM Spare UTM
Konfiguration der Spare-Schnittstelle
Login auf das Web-Interface der Spare-UTM. Spare → Netzwerk →ClusterkonfigurationReiter Schnittstellen
	eth2	eth2 Schnittstelle bearbeiten	Abb.: 1.12
Verwendung:	Schnittstelle als Hotwire benutzen	Die Schnittstelle LAN3 der Spare-UTM wird als Hotwire gekennzeichnet.
Lokale IP‑Adresse:	192.168.180.3/24	IP-Adresse der Spare-UTM, die für Hotwire verwendet werden soll.
Remote IP‑Adresse:	192.168.180.2	IP-Adresse der bereits konfigurierten Master-UTM, die als Hotwire angesprochen werden soll.

Einstellungen für die Clusterkonfiguration
Spare → Netzwerk →ClusterkonfigurationReiter Einstellungen
Priorität	Niedrig	Die Priorität beim Spare muss auf Niedrig gestellt sein	Abb.: 1.13
	insecure	Die Passphrase für die Kommunikation der beiden UTMs auf den HA-Schnittstellen (VRR Protokoll)
Lokaler SSH-Schlüssel:	Neuen lokalen SSH-Schlüssel generieren	Im Reiter Einstellungen wird ein SSH Public Key erzeugt.
Lokaler SSH-Schlüssel:	ssh-rsa AAAAB3Nz […] Q1/k= root@spare.cluster.local	SSH-Schlüssel noch nicht in die Zwischenablage kopieren
Schlüssel der Gegenstelle:	ssh-rsa AAAAB3Nz […] zE0SU= root@master.cluster.local	Public-SSH-Key der Master-UTM aus der Zwischenablage einfügen
Lokaler SSH-Schlüssel:	Jetzt den lokalen Public-SSH-Key der Spare-UTM in die Zwischenablage einfügen.
Master → Netzwerk →ClusterkonfigurationReiter Einstellungen

Schlüssel der Gegenstelle:	ssh-rsa AAAAB3Nz […] Q1/k= root@spare.cluster.local	Public-Key der Spare-UTM aus der Zwischenablage einfügen. Auf der Master-UTM entspricht die Spare-UTM der Gegenstelle
Auf beiden Seiten sollte sich nun ein lokaler SSH Schlüssel und jeweils der SSH Schlüssel der Gegenstelle befinden. Speichern der Einstellungen auf beiden UTMs in diesem Dialog durch Betätigung der Speichern Schaltfläche.
Synchronisationsstatus:		Der Synchronisationsstatus sollte nun von error (rot) zu pending (gelb) wechseln. Das bedeutet, die beiden UTMs sehen sich über die Hotwire-Schnittstelle, jedoch ist die Konfiguration noch nicht synchronisiert. notempty Neu ab v12.8.0 Außerdem ist dieser Status an Folgendem zu erkennen: Hinweis im Header "nicht synchronisiert", Warnzeichen im Seitenmenü, Hinweis beim Aufrufen des Admin-Webinterfaces der Master-UTM .
Master
Synchronisationsstatus:		Wenn die Synchronisation erfolgreich abgeschlossen wurde, steht jetzt der Synchronisationsstatus auf synchronized (grün). Die beiden UTMs sind abgeglichen. Dieser Vorgang kann überprüft werden, indem auf der Spare-UTM eine Konfiguration aufgerufen wird, die im Master verändert wurde. Die Cluster Priorität Netzwerk Clusterkonfiguration Bereich Einstellungen der Spare-UTM (Backup) wurde automatisch auf niedrig gestellt. Würde die Priorität auf der jetzigen Spare-UTM auf hoch gestellt und von da aus auch die Konfiguration synchronisiert werden, würde die erste Maschine automatisch zum Spare degradiert und die vormalige Spare-UTM zum Master.
Externe Schnittstelle auf HA-Betrieb konfigurieren
Master → Netzwerk →Clusterkonfiguration eth0
	eth0	Externe Schnittstelle zum Router	Abb.: 1.26
	Schnittstelle für High Availability benutzen	Hochverfügbarkeit konfigurieren
Virtuelle IP-Adressen:	»192.168.175.101/24	Virtuelle IP-Adresse aus dem Netz des Routers Identisch für Master und Spare
Konfiguration synchronisieren
Speichern Konfiguration synchronisieren
Cluster aktivieren
Master & Spare → Netzwerk →Clusterkonfiguration
	Ein → Speichern	Dieser Schritt muss auf beiden UTMs ausgeführt werden.	[[Datei: ]] Abb.: 1.14
Clusterstatus	Auf der Master-UTM:	Der Cluster ist nun in Betrieb und der Master des Clusters hat die virtuelle IP-Adresse 192.168.200.1 auf dem internen Interface.
Clusterstatus	Auf der Spare-UTM:	Die Spare-UTM läuft als Hot-Standby im Backup-Modus im Hintergrund

NAT in der Cluster-Konfiguration

In der beschriebenen Konstellationen mit externen HA-Schnittstellen ist es sinnvoll die NAT Einstellungen anzupassen.

Die Ausfallzeit des Clusters wird reduziert, da keine neue IP-Adressen für die Kommunikation vergeben werden müssen.

Wir beziehen uns hier auf das Beispiel »Cluster Konfiguration: Externer Router«.
Die externe virtuelle IP-Adresse des Clusters ist in der selben Broadcast Domain wie die externen IP-Adressen der Schnittstellen.
Die Standardroute der UTMs zeigt auf den Router der die Internet Verbindung herstellt.

tcpdump auf master.cluster.local

Externe IP UTM 1 Master	192.168.175.102/24
Externe IP UTM 2 Spare	192.168.175.103/24
Virtuelle IP Cluster Cluster	192.168.175.101/24
IP des Routers	192.168.175.1/24

Die UTM 1 ist der Master und besitzt die virtuelle IP-Adresse.
Setzt man nun einen ping aus dem internen Netz auf die IP-Adresse des Routers ab, sieht man nebenstehendes im tcpdump der UTM1 auf dem externen Interface.

Der Ping wird vom Client im Standard-Regelwerk nicht über die virtuelle IP-Adresse des Clusters geNATet, sondern über die dem Master eindeutige IP-Adresse 192.168.175.102.
Das kommt zustande, weil die eindeutige IP-Adresse die erste IP auf der Schnittstelle ist und der Router sich in der gleichen Broadcast Domain befindet. Wechselt der Cluster auf das Backup System, wird dort nicht mehr die IP-Adresse der externen Schnittstelle der Master-UTM 192.168.175.102 stehen, sondern die IP-Adresse der externen Schnittstelle der Spare-UTM 192.168.175.103.

UTM v12.6.1 Cluster Netzwerkobjekt HA.png

Um das zu ändern wird im Menü Master Firewall Netzwerkobjekte ein neues Objekt mit der virtuellen IP-Adresse auf dem Cluster Interface erstellt.

Anschließend wird unter die entsprechende HideNAT-Regel bearbeitet. In Beispiel die Regel Nummer 7.

UTM v12.6.1 Cluster Regel bearbeiten HN-HA.png

Das Objekt wird durch das gerade erstellte Objekt ersetzt.

Speichern Schließen Regel aktualisieren Master → Netzwerk →Clusterkonfiguration Schaltfläche Konfiguration synchronisieren

Wird der Ping-Test jetzt wiederholt, wird die Cluster-IP 192.168.175.101 verwendet.

Wenn der Ping auf den Router ohne Unterbrechung lief, ist dieser noch im Conntrack gespeichert, der Ping wird also noch über die falsche IP-Adresse geNATet.
Der Ping muss unterbrochen werden. Nach frühestens 30 Sekunden kann der Ping dann neu gestartet werden.

Für NAT Einstellungen müssen immer eindeutige IP-Adressen in den Netzwerkobjekten benutzt werden, wenn das NAT über ein HA-Interface konfiguriert wird.
Das gilt nicht nur für HideNATs sondern auch Portweiterleitungen bzw. Destination NATs.

Applikationen in der Cluster-Konfiguration

Anwendungen verwenden IP-Adressen, um sich bei anderen Servern zu identifizieren.
Es ist bei einigen Anwendungen möglich, dafür die Cluster-IP festzulegen.

Beispielhaft wird das hier für das Mailrelay gezeigt.

Es sollen E-Mails über das Mailrelay der UTMs verschickt und empfangen werden.
Dazu wurden entsprechende PTR, A, MX Records und SPF Einträge in den TXT Records der Domain gemacht, die auf die externe virtuelle IP-Adresse des Clusters zeigen.

Diese IP-Adressen müssen natürlich vom Router, der den Internetzugang in das eigene Netz weiterleitet, geroutet werden.
Damit das Mailrelay nun auch E-Mails über diese virtuelle IP verschickt, muss in der Applikation die ausgehende IP-Adresse korrekt eingestellt werden. In unserem Fall die virtuelle IP 192.168.175.101

Speichern
Anschließend muss die Cluster Konfiguration erneut synchronisiert werden.
→ Netzwerkkonfiguration →Clusterkonfiguration

Das Mailrelay kommuniziert jetzt immer mit der virtuellen IP-Adresse 192.168.175.101. Auch der interne Mailserver wird mit dieser IP als Absender kontaktiert. Das muss bei der Konfiguration des Mailservers berücksichtigt werden, sollte dieser nur SMTP-Verbindungen von bestimmten IPs akzeptieren.

Kommunikation von Applikationen, die auf der Firewall laufen

Alle Applikationen, die von der Firewall selber eine Verbindung aufbauen, verwenden dafür (sofern nicht anders konfiguriert) die primären IPs der Schnittstellen. Sollten Management-IPs aus der gleichen Broadcast-Domäne verwendet werden, sind diese primären IPs nicht die virtuellen IP-Adressen.

Syslog-Nachrichten werden von der Management-IP der Master verschickt, wenn diese die aktive Maschine im Cluster ist, und von der Management-IP der Spare wenn diese aktiviert wurde.

Sollte ein Parent-Proxy in Benutzung sein, der Verbindungen nur von einer bestimmten IP annimmt, muss diese im Menü Bereich Allgemein → Ausgehende IP-Adresse angegeben werden.

RADIUS-/LDAP-/AD-Anbindung

Sollte der Server nur Verbindungen von bestimmten IPs zulassen, müssen auf dem Ziel-Server jeweils die Management-IPs beider Geräte freigegeben werden.

IPSec

Alle IPSec-Verbindungen müssen in Phase 1 so angepasst werden, dass im Feld „Local Gateway“ eine der virtuellen IPs fest eingetragen ist.
Bereich Verbindungen Schaltfläche Phase 1 → Allgemein Local Gateway

In allen SSL-VPN-Server-Instanzen muss die Option Multihome aktiviert werden:
Schaltfläche → Erweitert Multihome: Ein

Kommunikation mit Applikationen, die auf anderen Geräten laufen

Alle SSL-VPN-Client-Instanzen müssen so angepasst werden, dass Sie eine der virtuellen IPs zum Verbindungsaufbau verwenden. Dazu sind folgende CLI-Befehle erforderlich:

	Bedeutung
master.cluster.local> openvpn get	Ermittelt die ID der SSL-VPN-Verbindung
master.cluster.local> openvpn set id <ID> local_addr <VIRTUELLE-IP> local_port <FREIER-PORT>	Setzt die lokale Adresse
master.cluster.local> appmgmt restart application openvpn	Aktiviert die Einstellungen
Beispiel
master.cluster.local> openvpn get [...] master.cluster.local> openvpn set id <1> local_addr <192.168.175.101> local_port <20000> master.cluster.local> appmgmt restart application openvpn	Beispiel

Der POP3-Proxy kommuniziert immer mit der Management-IP, sofern diese in der gleichen Broadcast-Domain wie das Default-Gateway ist. Dies ist bei der Beschränkung des Zugriffs auf POP3-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.

Verbindungen zu RDP/VNC-Servern werden immer mit den Management-IPs aufgebaut. Dies ist bei der Beschränkung des Zugriffs auf RDP/VNC-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.

Verbindungen zu DNS-Servern werden immer mit den Management-IPs aufgebaut. Dies ist bei der Beschränkung des Zugriffs auf DNS-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.

		Beschreibung
cli> cluster info	cluster_state ∣master backup none
	sync_state ∣synchronized pending error
	hotwire_dev ∣ethx
cli> system config save name <Name der Konfiguration>
cli> system config synchronize
cli> extc value get application "securepoint_firewall" variable "UPDATE_TRIGGER_DELAY"	Value ∣2
cli> extc value set application "securepoint_firewall" variable "UPDATE_TRIGGER_DELAY" value 2	OK

cli> cluster maintainance set value "1" cli> system update interface	OK
cli> cluster maintainance set value "0" cli> system update interface	OK
Master cli> cluster info	attribute \|value -------------+----- cluster_state\|backup sync_state \|synchronized hotwire_dev \|eth2 maintainance \|true
Spare cli> cluster info	attribute \|value -------------+----- cluster_state\|master sync_state \|synchronized hotwire_dev \|eth2 maintainance \|false

Einschränkungen

DHCP-Client nicht mit HA-Schnittstelle kombinieren

Es darf kein HA Interface auf einem Ethernet oder VLAN Interface konfiguriert werden, wenn das Interface als DHCP Client konfiguriert wurde und die UTM dort eine IP-Adresse dynamisch zugewiesen bekommt.
Sollte der DHCP Server nicht erreichbar sein nachdem sie die UTM gestartet haben und ist sie in dem Augenblick auch der Master im Cluster, wird die virtuelle IP-Adresse vom Interface entfernt sobald der DHCP Server wieder erreichbar ist und die UTM eine neue IP-Adresse vom DHCP Server empfängt.

DHCP-Server in einer Clusterumgebung

Bei Verwendung der UTM als DHCP-Server dürfen diese IP-Adressen nicht in der gleichen Broadcast Domain der anderen IP-Adressen liegen.
Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren. Siehe: Cluster Konfiguration Schritt 2

@@ Zeile 3: / Zeile 3: @@
 {{#vardefine:headerIcon|spicon-utm}}
-</div>{{Select_lang}}{{DISPLAYTITLE:{{#var:display| Cluster }} }} {{TOC2}}
+</div>{{Select_lang}}{{TOC2|limit=3}}
-<p>'''{{#var:headline| Securepoint Cluster Konfiguration}}'''<br>
+{{Header|12.1|
-'''Best Practice'''
+* {{#var:neu--Wartungsmodus}}
-</p>
+|[[UTM/NET/Cluster_11.7 | '''11.7]]
+}}
-<p>{{#var:ver|Letzte Anpassung zur Version:}} '''11.8.8''' </p>
-<br>
-{{cl |{{#var:neu}} |
-* {{#var:neu--dhcp| Erweiterte Hinweise zu DHCP }}
-* {{#var:neu--sync}}
-* {{#var:translation}}
-|w=40px}}
-<br>
-{{#var:prev|Vorherige Versionen:}} [[UTM/NET/Cluster_11.7 | '''11.7]]
-<br>
 ----
+{{Hinweis-neu | !! '''{{#var:Aktuelle Software|  }}'''<br>{{#var:aktuell--desc}} |r | class=top}}
-'''{{#var:Wichtige Information|  }}'''
-'''{{#var:Aktuelle Software|  }}'''<br>
+=== {{#var:Einsatzgebiete}} ===
-{{Hinweis | ! § {{#var:aktuell--desc| Es sollte immer die neueste Version der Software installiert werden. Nur in der aktuellen Version sind die neusten Funktionen, Sicherheits-Erweiterungen und Fehlerkorrekturen enthalten. }} |r}}
+<div class="Einrücken">
+{{#var:Einsatzgebiete--desc}}
-----
+{{Bild|{{#var:Einsatzgebiete--bild }} | {{#var:Abb}} 1.1}}
+</div>
-=== {{#var:Einsatzgebiete| e }} ===
-{{#var:Einsatzgebiete--desc| Die UTM wird, durch die Umwandlung in einen Hot-Standy UTM-Cluster, aufgewertet und sichert geschäftskritische Prozesse gegen den Ausfall einer UTM ab. Securepoint stellt dazu einen Aktiv-/Passiv-Cluster zur Verfügung. Die UTMs innerhalb des Clusters überwachen sich gegenseitig und schalten bei Bedarf automatisch auf das Gerät mit dem besten Status um. Ein Eingriff des Administrators ist nicht notwendig.  }}
-{{Bild|{{#var:Einsatzgebiete--bild| Cluster-01.jpg }} | {{#var:Abb| Abb.: }} 1.1}}
-----
-==== {{#var:Einrichtung| e2 }} ====
+==== {{#var:Einrichtung}} ====
-{{#var:Einrichtung--desc| Bei der Einrichtung des UTM-Clusters werden zwei UTMs mit identischer Firmware über eine Hotwire-Schnittstelle verbunden. Die Installation mit dem „Cluster Setup Wizard“ wird auf der ''Ursprungs-UTM'' ausgeführt, die im dann erstellten Cluster der MASTER sein wird. Mit dieser UTM wird die Synchronisierung der Konfiguration durchgeführt. Auf der ''Spare-UTM'', die im Cluster das BACKUP sein wird, werden bei der Installation die Hotwire-Schnittstelle definiert sowie ein SSH-Schlüssel erzeugt. Auch wird auf der Spare der SSH-Schlüssel des MASTER eingetragen.
+<div class="Einrücken">{{#var:Einrichtung--desc}}</div>
-<br>
-Die aktive UTM im Cluster, hat die höhere Priorität und wird als MASTER bezeichnet.
-<br>
-Die UTM mit der niedrigeren Priorität, die passive UTM, ist das BACKUP. }}
 ----
-==== {{#var:Voraussetzungen|  v}} ====
+==== {{#var:Voraussetzungen}} ====
-{{#var:Voraussetzungen--desc| Zum Cluster-Betrieb sind folgende Voraussetzungen notwendig: }}
+<div class="Einrücken">
+{{#var:Voraussetzungen--desc}}
+* {{#var:Voraussetzungen--cluster-lizenz}}<li class="list--element__alert list--element__hint">{{#var:Voraussetzungen--cluster-lizenz--Hinweis}}</li>
-* {{#var:Voraussetzungen--cluster-lizenz| '''Eine Cluster-Lizenz'''<br><p>Zur Konfiguration und den Betrieb des UTM-Clusters wird eine gültige Cluster-Lizenz benötigt, die im [https://my.securepoint.de/index/login Securepoint Reseller Portal] beantragt werden kann:</p><p>Endkunden wenden sich bitte an Ihren [https://www.securepoint.de/partner/partnerprogramm.html autorisierten Securepoint Reseller.]</p><p>{{Hinweis | !! Die Menüpunkte zur Cluster-Konfiguration sind sichtbar, sobald eine Cluster-Lizenz eingespielt ist.|gelb|c=}}<p> }}
+* {{#var:Voraussetzungen--hardware}}
-* {{#var:Voraussetzungen--hardware| '''Zwei identische Appliances mit mindestens 3 Ethernet Schnittstellen und gleicher Firmware'''<br><p>Im kleinsten Szenario (siehe Abbildung 1.1) sind eine Eingangs-Schnittstelle (internes LAN) und eine Ausgangs-Schnittstelle (externes LAN) sowie die dritte freie Schnittstelle vorhanden. Diese, im Folgenden auch als Hotwire-Schnittstelle bezeichnet, wird für den Abgleich der Konfiguration und das Connection-Tracking benötigt. Sie kann keine weitere Netzwerkfunktion übernehmen.</p> }}
+* {{#var:Voraussetzungen--software}}
+</div>
-* {{#var:Voraussetzungen--software| '''Die eingesetzten Switches und Router unterstützen ''gratuitous ARP'''''<br><p>Kommt es im UTM-Cluster zum Master-/Backup-Wechsel, sendet die jetzt aktive UTM ''gratuitous ARP'' Pakete an ihre Umgebung, um die neuen MAC-Adresse bekannt zu geben.<br>Unterstützen die Switches bzw. Router diese Funktion nicht, können sie nur verzögert über die aktive UTM kommunizieren. }}
 ----
+{{h4| {{#var:funktionsweise }} |{{#var:funktionsweise}} }}
-{{pt3|{{#var:funktionsweise--bild| UTM11_BP_Cluster_pic5.png }}|{{#var:Abb}} 1.2 | {{h4| {{#var:funktionsweise| Funktionsweise des Clusters }} |{{#var:funktionsweise|Funktionsweise des Clusters}} }} }}
+{{pt3|{{#var:funktionsweise--bild}}|{{#var:Abb}} 1.2 }}
-{{#var:funktionsweise--desc| Der Cluster verwendet '''eindeutige IP- und MAC-Adressen''' für die beiden Mitglieder des Clusters sowie '''virtuelle IP-Adressen''' für den Cluster selber. Die virtuellen IP-Adressen sind allein auf dem aktiven Mitglied des UTM-Clusters aktiv. Fällt das aktive Mitglied des Clusters ganz oder teilweise aus, so wechseln die virtuellen IP-Adressen zum zweiten Mitglied des Clusters.
+<div class="Einrücken">{{#var:funktionsweise--desc}}</div>
-<br>
-Für die Clients und Server in einer Clusterkonfiguration, ist die virtuelle IP-Adresse der Kommunikationspartner im Routing (also zum Beispiel das Standard Gateway, siehe Abb. 1.2). }}
 <br clear=All>
 ----
-{{pt3|UTM11_BP_Cluster_pic6.png| | {{ h4| {{#var:cluster-protokoll| Das Cluster VRR Protokoll }} | {{#var:cluster-protokoll|Das Cluster VRR Protokoll}} }} }}
+{{ h4| {{#var:cluster-protokoll}} | {{#var:cluster-protokoll}} }}
-{{#var:cluster-protokoll--desc| <p>VRRP (Virtual Router Redundancy Protocol) ist das Kommunikationsprotokoll des Clusters. Es ist einzig auf den Schnittstellen aktiv, die als {{hover|HA-|High-Availibility}}Schnittstelle konfiguriert sind. Über dieses Protokoll versendet der Master des UTM-Clusters Datenpakete an das Backup. Empfängt das Backup keine Datenpakete, so stuft es sich zum Master hoch.</p>
+{{pt3|UTM11_BP_Cluster_pic6.png}}
+<div class="Einrücken">{{#var:cluster-protokoll--desc}}</div>
-<p>Mit Hilfe von '''tcpdump''' kann das Protokoll auf einer HA-Schnittstelle sichtbar gemacht werden (siehe Abb.)</p>
-<p>Es sind keine speziellen Firewall Regeln notwendig, um die Kommunikation mit dem VRR-Protokoll zu ermöglichen.</p> }}
 ----
-==== {{#var:Umschalten| Umschalten des Clusters }} ====
+==== {{#var:Umschalten}} ====
-{{#var:Umschalten--desc| Folgende Zustände bzw. Ereignisse lösen ein Umschalten innerhalb des Clusters aus:
+<div class="Einrücken">
+{{#var:Umschalten--desc}}
-* Das aktive Mitglied eines Clusters wird neu gestartet oder ganz heruntergefahren.
-* Eine oder mehrere HA-Schnittstellen haben keinen physikalischen Link mehr.
-* Der Link einer HA-Schnittstelle ist aktiv, aber aufgrund eines defekten oder falsch konfigurierten Switches kommen die VRRP Pakete nicht beim Cluster Partner an.
-* Die Cluster Funktion wird auf dem aktiven Cluster-Partner durch den Administrator deaktiviert.
-<br />
-Sind mehr als zwei HA-Schnittstellen aktiviert, besteht im Fehlerfall die Möglichkeit, dass eine unterschiedliche Anzahl von HA-Schnittstellen nicht mehr kommunizieren können. In diesem Fall wird die UTM das aktive Mitglied werden, auf der die meisten Schnittstellen einen Link haben, solange sich die UTMs über wenigstens einer HA-Schnittstelle noch sehen. Sehen sich die UTMs auf keiner Schnittstelle mehr, gehen beide davon aus, dass das zweite Mitglied des Clusters nicht mehr vorhanden ist und beide werden zum Master. }}
-{{#var:Umschalten--tabelle| Tabelle, Verhalten im Cluster, Beispiel zwei HA-Schnittstellen: }}
+{{#var:Umschalten--tabelle}}
-{| class="sptable0"
+{| class="sptable0 "
-! {{#var:HA-Schnittstelle| HA-Schnittstelle }} 1 !! {{#var:HA-Schnittstelle}} 2 !! UTM 1 Status !! UTM 2 Status
+! {{#var:HA-Schnittstelle}} 1 !! {{#var:HA-Schnittstelle}} 2 !! UTM 1 Status !! UTM 2 Status
 |-
 | UTM 1 UP{{mobil|<br>|, }}UTM 2 UP || UTM 1 UP{{mobil|<br>|, }}UTM 2 UP || class="bc__ja"| <center>'''{{#var:Aktiv| Aktiv }}'''</center> || class="bc__teilweise"| <center>'''{{#var:Passiv| Passiv }}'''</center>
@@ Zeile 103: / Zeile 71: @@
 <br>
-<p>{{#var:Umschalten--tabelle--desc| Hierbei ist zu beachten, dass UTM-1 eine höhere Priorität als UTM-2 hat. Ist der Zustand in der Tabelle aktiv und als rot gekennzeichnet bedeutet das, dass sich die beiden Mitglieder des Clusters nicht mehr sehen und davon ausgehen, dass der jeweils andere Partner nicht mehr vorhanden ist. Beide Mitglieder des Clusters sind dann aktiv. Eine Netzwerkkommunikation ist dann allerdings generell nicht mehr möglich, da das Problem in der Umgebung liegt. }}</p>
+<p>{{#var:Umschalten--tabelle--desc}}</p>
 ----
-===== {{#var:Fallback| Fallback im Cluster }} =====
+===== {{#var:Fallback}} =====
-<li class="list--element__alert list--element__hint">{{#var:Fallback--desc| Ist gleichzeitig ein Fallback konfiguriert und ein fehlgeschlagener Ping-Check löst das Umschalten auf die <i class="host utm">Spare</i> aus und diese registriert ebenfalls einen fehlgeschlagenen Ping-Check, wird sie den Master wieder an den ursprünglichen <i class="host utm">Master</i> zurückgeben. <br>Hier entscheidet nun die Priorität, da beide Maschinen gleichwertig beeinträchtigt sind und das Fallback der <i class="host utm">Master</i> wird aktiv. }}</li>
+<li class="list--element__alert list--element__hint">{{#var:Fallback--desc}}</li>
+</div>
 ----
-{{pt3 | UTM11_BP_Cluster_pic7.png|{{#var:Abb}} 1.3 | {{h4| {{#var:Hotwire-Schnittstelle| Hotwire-Schnittstelle }} | {{#var:Hotwire-Schnittstelle}} }} }}
+{{h4| {{#var:Hotwire-Schnittstelle}} | {{#var:Hotwire-Schnittstelle}} }}
-{{#var:Hotwire-Schnittstelle--desc| Die Hotwire-Schnittstelle ist eine exklusive Schnittstelle, die nur zum Synchronisieren der Konfiguration der Cluster-Mitglieder und Abgleich der laufenden Verbindungen (Connection-Tracking) verwendet wird. Diese Schnittstelle hat ''exklusiv'' diese Aufgabe. Bei der Auswahl der Appliances muss darauf geachtet werden, daß für das Hotwire-Netz jeweils eine Schnittstelle frei ist.
+{{pt3 | UTM11_BP_Cluster_pic7.png|{{#var:Abb}} 1.3 }}
-<br>
+<div class="Einrücken">
-Für die Synchronisation der Konfiguration wird das SSH-Protokoll (TCP/22) verwendet. Das Connection-Tracking wird über den Port 3780 (UDP) abgeglichen. Ist eine Ethernet-Schnittstelle als Hotwire gekennzeichnet, werden die Regeln für die Kommunikation automatisch generiert. Für die SSH-Verbindung müssen öffentliche Schlüssel zwischen den Mitgliedern des UTM-Clusters ausgetauscht werden. Der Abgleich der Konfiguration kann in beide Richtungen zwischen den Mitgliedern des Clusters erfolgen. Das Connection-Tracking wird immer automatisch vom Master im Cluster zum Backup übertragen (Abb. 1.3). }}
+{{#var:Hotwire-Schnittstelle--desc}}
-{{Hinweis | !! {{#var:Hotwire-Schnittstelle--hinweis| Die Hotwire-Verbindung soll immer über eine direkte Kabelverbindung erfolgen (kein Switch etc. dazwischen). Es muss sichergestellt werden, dass niemand zu dem Zeitpunkt administrativ das Mitglied des Clusters verwendet, zu dem synchronisiert werden soll. }} }}
+{{Hinweis-neu | !! {{#var:Hotwire-Schnittstelle--hinweis}} }}
-<br clear=All>
+</div><br clear=All>
 ----
 <span id=sync-start></span>
-==== {{#var:Konfiguration-abgleichen| Konfiguration abgleichen }} ====
+==== {{#var:Konfiguration-abgleichen}} ====
-{{#var:Konfiguration-abgleichen--desc| Über die Hotwire-Schnittstelle wird die Konfiguration synchronisiert. Änderungen, die auf einer Maschine im Cluster gemacht wurden, werden über diese Schnittstelle auf das andere Gerät übertragen. In der Regel wird die Konfiguration, nach der Inbetriebnahme des Clusters, allein auf einer UTM durchgeführt. Wir empfehlen den Master zu verwenden. '''Der Abgleich erfolgt immer manuell.''' Der Administrator entscheidet, wann er die Konfiguration im UTM-Cluster abgleichen möchte. }}
+<div class="Einrücken">
+{{#var:Konfiguration-abgleichen--desc}}
+{{Hinweis-neu| ! {{#var:Konfiguration-abgleichen--Hinweis}} }}
-{{#var:Konfiguration-abgleichen--list| Folgende Teile der Konfiguration werden '''nicht abgeglichen''': }}
+{{#var:Konfiguration-abgleichen--list}}
-#{{#var:Konfiguration-abgleichen--list--ip| '''IP-Adressen die eindeutig zu einer Maschine gehören und die auf Ethernet- oder VLAN- Schnittstellen konfiguriert wurden.'''<br> Das sind die IP-Adressen, die im Webinterface unter dem Punkt {{Menu|Netzwerk |Netzwerkkonfiguration}} eingestellt werden. Wird ein Ethernet- oder VLAN-Schnittstelle neu erzeugt, wird dies zwar übertragen, jedoch nicht die Information über die IP-Adressen dieser Schnittstellen. Diese müssen bei Bedarf manuell auf dem Cluster-Mitglied konfiguriert werden, denn sie sind immer eindeutig einer UTM zugewiesen. Diese IP-Adressen sind nicht zu verwechseln mit virtuellen IP-Adressen auf einer HA-Schnittstelle, die sich beide Maschinen im Cluster teilen. }}<br><br>
+#{{#var:Konfiguration-abgleichen--list--ip}}<br><br>
-# {{#var:Konfiguration-abgleichen--list--ad-account| '''Active Directory-Appliance-Account.'''<br> Dieser Account ist immer eindeutig im AD. Man erstellt unterschiedliche Namen auf beiden Maschinen und meldet jede separat am Active Directory an. }}
+# {{#var:Konfiguration-abgleichen--list--ad-account}}
-{{ Hinweis| !! {{#var:Konfiguration-abgleichen--hinweis| Es ist nicht zwingend notwendig, eindeutige IP-Adressen auf Schnittstellen zu konfigurieren, auf dem eine HA-Schnittstelle mit virtuellen IP-Adressen betrieben wird. Soll über diese Schnittstelle das Mitglied des UTM-Clusters eindeutig identifiziert werden, ist dies jedoch erforderlich. In dem Fall gelangt man über die virtuelle IP-Adresse auf die UTM, die in dem Augenblick der Master ist. }} | gelb |c=graul }}
+{{ Hinweis-neu| !! {{#var:Konfiguration-abgleichen--hinweis}} | g }}
 <br />
+<div id="Austausch">
+===== {{#var:Konfiguration-Austauschgeräte}} =====
+<li class="list--element__alert list--element__hint">{{#var:Konfiguration-Austauschgeräte--desc}}</li>
+<li class="list--element__alert list--element__warning">{{#var:Konfiguration-Austauschgeräte--SSH}}</li>
+<li class="list--element__alert list--element__warning">{{#var:Priorität--Austausch--Hinweis}}</li>
+</div>
+</div>
 ----
-=== {{#var:beispiel-konfig| Beispiel-Konfiguration: Externes DSL-Modem }} ===
+=== {{#var:beispiel-konfig}} ===
-{{#var:beispiel-konfig--desc| In diesem Beispiel wird eine Konfiguration aufgezeigt, mit der ein UTM-Cluster an einem DSL-Modem betrieben werden kann. Die Einwahl erfolgt direkt durch die UTM. }}
+<div class="Einrücken">
+{{#var:beispiel-konfig--desc}}
-==== {{#var:Netzwerkkonfiguration| Netzwerkkonfiguration: }} ====
+==== {{#var:Netzwerkkonfiguration}} ====
-{{#var:Netzwerkkonfiguration--desc | '''Erstes Mitglied des Clusters (UTM 1, <i class="host utm">Master</i>)'''<br />
+{{#var:Netzwerkkonfiguration--desc}}
-''eth0:'' Externe DSL Verbindung mittels PPPoE.<br>
-''eth1:'' Interne IP-Adresse: 192.168.100.2/24<br>
-''eth2:'' Hotwire-IP-Adresse:192.168.180.2/24
-<br>
-'''Zweites Mitglied des Clusters (UTM 2, <i class="host utm">Spare</i>)'''<br />
-''eth0:'' Externe DSL Verbindung mittels PPPoE.<br>
-''eth1:'' Interne IP-Adresse:192.168.100.3/24<br>
-''eth2:'' Hotwire-IP-Adresse:192.168.180.3/24 }}
-<p>{{#var:Netzwerkkonfiguration--virtuelle-ip| Als virtuelle IP-Adresse wird 192.168.200.1/24 definiert. <br>
+<p>{{#var:Netzwerkkonfiguration--virtuelle-ip}}</p>
-Diese IP-Adresse ist das Standard-Gateway des internen Netzwerks. }}</p>
+{{Hinweis-neu| ! {{#var:Netzwerkkonfiguration--hinweis}}<br>{{#var:Netzwerkkonfiguration--hinweis--dhcp}} |class=top}}
-<li class="list--element__alert list--element__warning">{{Hinweis| {{#var:Netzwerkkonfiguration--hinweis| Bei Verwendung des DHCP-Servers, darf die Virtuelle IP-Adresse <u>nicht im gleichen Netz</u> wie die physische IP Adresse der Schnittstelle sein. }} }}<br>
+</div>
-{{#var:Netzwerkkonfiguration--hinweis--dhcp| Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren. }} </li>
 ----
-==== {{#var:Inbetriebnahme| Inbetriebnahme der UTMs }} ====
+==== {{#var:Inbetriebnahme}} ====
-{{#var:Inbetriebnahme--desc| Zur Inbetriebnahme des UTM-Clusters wird zunächst der Installationsassistent verwendet. Um eine Doppeleinwahl zu unterbinden, soll das DSL-Modem nicht angeschlossen sein. Die Konfiguration der beiden UTMs unterscheidet sich bis zu diesem Zeitpunkt allein durch die interne und externe IP-Adresse. Im letzten Schritt des Installationsassistenten wird die Cluster-Lizenz ausgewählt. Nach Abschluss des Assistenten werden die UTMs neu gestartet. }}
+<div class="Einrücken">
+{{#var:Inbetriebnahme--desc}}
 ----
 ===== {{#var:Hotwire-Schnittstelle}} =====
-{{#var:inbetriebnahme--hotwire--desc| Die UTMs werden nun physikalisch über die ausgewählte Hotwire-Schnittstelle verbunden. Diese muss auf den Maschinen den gleichen Port belegen - zum Beispiel LAN3/eth2. }}
+{{#var:inbetriebnahme--hotwire--desc}}
+</div>
 ----
-==== {{#var:Cluster-Konfiguration| Cluster-Konfiguration }} ====
+==== {{#var:Cluster-Konfiguration}} ====
-{{#var:Cluster-Konfiguration--desc| Die UTMs haben innerhalb des Clusters eine unterschiedliche Priorität. Die höhere Priorität hat der Master, die niedrigere das Backup-System. In unserem Beispiel wird die UTM mit der eindeutigen internen IP-Adresse 192.168.100.2 Master sein. Login über das Webinterface mit dieser IP und dem Port für Administration <small>(Default: 11115)</small>. }}
+<div class="Einrücken">{{#var:Cluster-Konfiguration--desc}}</div>
-{| class="sptable2 pd5"
+{| class="sptable2 pd5 zh1 Einrücken"
 |+ {{#var:Cluster-Konfiguration}}
 |-
-! colspan="3" | {{h5| Master-UTM |Master-UTM}}
+! colspan="3" | {{h5| Master-UTM}} '''Master-UTM'''
-|-
-| class="Leerzeile" colspan="3" | '''{{#var:ip-hotwire| IP-Adresse der zukünftigen Hotwire-Schnittstelle }}'''<br><i class="host utm">Master</i> {{Menu| {{#var:Netzwerk| Netzwerk }} | {{#var:Netzwerkkonfiguration| Netzwerkkonfiguration }}}} {{ic|eth2}} → {{Button||w}} {{Reiter| {{#var:IP-Adressen| IP-Adressen }}}}
 |-
-| {{b|{{#var:IP-Adressen}} }} || style="min-width: 165px" |{{ic|{{cb|192.168.180.2/24}} |cb}} || {{#var:ip-adressen--desc| In der Clickbox wird die IP-Adresse der zukünftigen Hotwire-Schnittstelle hinzugefügt. <br>Im Beispiel bekommt LAN3/eth2 die IP-Adresse 192.168.180.2/24. }} || rowspan="1" class="bild" | {{bild| {{#var:cluster-schnittstelle--bild}}|hochkant=1.5|l={{#var:Abb}} 1.4 }}
+| class="Leerzeile" colspan="3" |
+====== {{#var:ip-hotwire}} ======
+|- class="Leerzeile"
+| colspan="3" | <i class="host utm">Master</i> {{Menu| {{#var:Netzwerk}} | {{#var:Netzwerkkonfiguration}}}} {{ic|eth2}} → {{Button||w}} {{Reiter| {{#var:IP-Adressen}} }}
 |-
-| class="Leerzeile"|  {{hrzeile}}<br> {{#var:wizard1--head| Start des Cluster-Setup-Wizard unter }} <i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}}|{{#var:Clusterkonfiguration| Clusterkonfiguration }} }} {{button|{{#var:Cluster Assistent}}|+}}<br>'''{{#var:Cluster Assistent| Cluster Assistent }} {{#var:Schritt| Schritt }} 1'''
+| {{b|{{#var:IP-Adressen}} }} || style="min-width: 165px" |{{ic|{{cb|192.168.180.2/24}} | cb }} || {{#var:ip-adressen--desc}} || rowspan="2" class="bild" | {{bild| {{#var:cluster-schnittstelle--bild}}|hochkant=1.5|l={{#var:Abb}} 1.4 }}
+|- class="Leerzeile"
+|
 |-
-| {{b| {{#var:Hotwire-Schnittstelle}} }} || {{Button|eth2: 192.168.180.2/24|dr}} || {{Hinweis|!|r}} {{#var:wizard1--hotwire--desc| Auf beiden Geräten muss die gleiche Schnittstelle gewählt werden! }} || rowspan="3" class="bild" | {{bild| {{#var:wizard1--hotwire--bild| UTM_v11.8.7_Cluster-Assistent_Schritt1.png }} | hochkant=1.5 | l={{#var:Abb}} 1.5}}
+| class="Leerzeile"|  {{hrzeile}}<br> {{#var:wizard1--head}} <i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}}|{{#var:Clusterkonfiguration}} }} {{button|{{#var:Cluster Assistent}}|+}}
+|- class="Leerzeile"
+| colspan="3" |
+====== {{#var:Cluster Assistent}} {{#var:Schritt}} 1 ======
 |-
-| {{b| {{#var:lokale-ip| Lokale IP&#8209;Adresse: }} }} || {{ic| 192.168.180.2/24}} || {{#var:wizard1--lokale-ip--desc| IP-Adresse der Master-UTM }}
+| {{b| {{#var:Hotwire-Schnittstelle}}: }} || {{Button|eth2: 192.168.180.2/24|dr}} || <li class="list--element__alert list--element__warning">{{#var:wizard1--hotwire--desc}}</li> || rowspan="4" class="bild" | {{bild| {{#var:wizard1--hotwire--bild}} | hochkant=1.5 | l={{#var:Abb}} 1.5}}
 |-
-| {{b| {{#var:remote-ip| Remote IP&#8209;Adresse: }} }} ||  {{ic | 192.168.180.3 }} || {{#var:wizard1--remote-ip--desc| IP-Adresse der Hotwire-Gegenstelle (Spare-UTM) }}
+| {{b| {{#var:lokale-ip}} }} || {{ic| 192.168.180.2/24}} || {{#var:wizard1--lokale-ip--desc}}
 |-
-| class="Leerzeile" colspan="3" id="{{#var:Schritt}}2" | {{mobil|<hr>|<br>}}'''{{#var:Cluster Assistent}} {{#var:Schritt}} 2'''
+| {{b| {{#var:remote-ip}} }} ||  {{ic | 192.168.180.3 }} || {{#var:wizard1--remote-ip--desc}}
+|- class="Leerzeile"
+|
 |-
-| {{ b| {{#var:Schnittstelle| Schnittstelle:}} }} || {{Button|eth1|dr}} || {{#var:wizard2--schnittstelle--desc| Das zukünftige HA-Interface. Im Beispiel die interne Schnittstelle. }} || rowspan="3" class="bild" | {{bild|{{#var:wizard2--bild| UTM_v11.8.7_Cluster-Assistent_Schritt2.png }}|hochkant=1.5 | l={{#var:Abb}} 1.6}}
+| class="Leerzeile" colspan="3" id="{{#var:Schritt}}2" | {{mobil|<hr>|<br>}}
+====== {{#var:Cluster Assistent}} {{#var:Schritt}} 2 ======
 |-
-| {{b| {{#var:wizard2--virtuelle-ip| Virtuelle IP&#8209;Adresse: }} }} || {{ic|192.168.200.1/24}} || {{#var:wizard2--virtuelle-ip--desc| Die virtuelle IP-Adresse soll 192.168.200.1 sein. Es können auf einer HA-Schnittstelle auch mehrere virtuelle IP-Adressen liegen. }}
+| {{ b| {{#var:Schnittstelle}} }} || {{Button|eth1|dr}} || {{#var:wizard2--schnittstelle--desc}} || rowspan="4" class="bild" | {{bild|{{#var:wizard2--bild}}|hochkant=1.5 | l={{#var:Abb}} 1.6}}
 |-
-|colspan="3" | {{Hinweis | ! § {{#var:wizard2--hinweis--dhcp| Bei Verwendung der UTM als DHCP-Server dürfen diese IP-Adressen nicht in der gleichen [http://de.wikipedia.org/wiki/Broadcast_Domain Broadcast Domain ] der anderen IP-Adressen liegen. }} {{info| {{#var:wizard2--hinweis--info| Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren. }} }} |r}}<br>
+| {{b| {{#var:wizard2--virtuelle-ip}} }} || {{ic|192.168.200.1/24}} || {{#var:wizard2--virtuelle-ip--desc}}
-{{Hinweis|! § {{#var:wizard2--hinweis--ha| Nachdem der Wizard durchlaufen wurde, können auch weitere HA-Schnittstellen konfiguriert werden. }} |g}}
 |-
-| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}'''{{#var:Cluster Assistent}} {{#var:Schritt}} 3''' || class="noborder" |
+|colspan="3" |
+<li class="list--element__alert list--element__warning">{{#var:wizard2--hinweis--dhcp}} {{info| {{#var:wizard2--hinweis--info}} }}</li>
+<li class="list--element__alert list--element__hint">{{#var:wizard2--hinweis--ha}}</li>
+|- class="Leerzeile"
+|
 |-
-| colspan="2" | {{b|{{#var:wizard3--deaktivierte| Deaktivierte Schnittstellen während das Gerät im Backup Modus ist: }} }} <span style="float:inline-end;">{{ic| {{cb|wan0|-}}|pd=5px 5px 2em 5px|lh=2em }}</span>|| {{#var:wizard3--deaktivierte--desc| Schnittstellen, die auf dem Backup-System, der Spare-UTM, '''nicht''' hochgefahren werden. <br>Im Beispiel ''wan0'' (das DSL Interface). Die Einwahl soll nur durch die gerade aktive Master-UTM im Cluster erfolgen. }} {{info| {{#var:wizard3--deaktivierte--info| Dadurch ist es möglich, beide externen Interfaces der UTMs an das DSL Modem anzuschließen. Falls das Modem nur einen LAN Port besitzt, ist ein separater Switch zu verwenden. }} }}
+| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}
-| rowspan="1" class="bild" | {{bild| {{#var:wizard3--bild| UTM_v11.8.7_Cluster-Assistent_Schritt3.png }} |hochkant=1.5 | l={{#var:Abb}} 1.7}}
+====== {{#var:Cluster Assistent}} {{#var:Schritt}} 3 ======
 |-
-| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}'''{{#var:Cluster Assistent}} {{#var:Schritt}} 4'''
+| colspan="2" | {{b|{{#var:wizard3--deaktivierte}} }} <span style="float:inline-end;">{{ic| {{cb|wan0|-}}|pd=5px 5px 2em 5px|lh=2em }}</span>|| {{#var:wizard3--deaktivierte--desc}} {{info| {{#var:wizard3--deaktivierte--info}} }}
+| rowspan="2" class="bild" | {{bild| {{#var:wizard3--bild}} |hochkant=1.5 | l={{#var:Abb}} 1.7}}
+|- class="Leerzeile"
+|
 |-
-| colspan="2" | {{b|{{#var:wizard4--deaktivierte| Deaktivierte Anwendungen während das Gerät im Backup Modus ist: }} }}{{ic| {{cb|Clientless VPN|-}} {{cb|DHCP Server|-}} {{cb|Greylisting Filter|-}} {{cb|HTTP Proxy|-}} {{cb|IPSEC|-}} {{cb|L2TP VPN|-}} {{cb|Mailrelay|-}} {{cb|POP3 Proxy|-}} {{cb|Routing Daemon|-}} {{cb|SPF Filter|-}} {{cb|SSL-VPN|-}} {{cb|Spamfilter|-}} {{cb|WLAN Server|-}} |pd=5px}}<small>'''Default'''</small>  || {{#var:wizard4--deaktivierte--desc| Per Default sind hier Anwendungen aufgeführt, die, sofern sich die Spare-UTM im Backup-Modus befindet, deaktiviert sein sollen. }} || rowspan="1" class="bild" | {{bild| {{#var:wizard4--bild| UTM_v11.8.7_Cluster-Assistent_Schritt4.png }}|hochkant=1.5 |l={{#var:Abb}} 1.8}}
+| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}
+====== {{#var:Cluster Assistent}} {{#var:Schritt}} 4 ======
 |-
-| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}'''{{#var:Cluster Assistent}} {{#var:Schritt}} 5'''
+| colspan="2" | {{b|{{#var:wizard4--deaktivierte}} }}{{ic| {{cb|Clientless VPN|-}} {{cb|DHCP Server|-}} {{cb|Greylisting Filter|-}} {{cb|HTTP Proxy|-}} {{cb|IPSEC|-}} {{cb|L2TP VPN|-}} {{cb|Mailrelay|-}} {{cb|POP3 Proxy|-}} {{cb|Routing Daemon|-}} {{cb|SPF Filter|-}} {{cb|SSL-VPN|-}} {{cb|Spamfilter|-}} {{cb|WLAN Server|-}} |pd=5px}}<small>'''Default'''</small>  || {{#var:wizard4--deaktivierte--desc}} || rowspan="2" class="bild" | {{bild| {{#var:wizard4--bild}}|hochkant=1.5 |l={{#var:Abb}} 1.8}}
+|- class="Leerzeile"
+|
 |-
-| {{b|{{#var:wizard5--priorität| Priorität }} }} || {{Button|{{#var:Hoch| Hoch }}|dro}} || {{#var:wizard5--priorität--desc| Die Master-UTM erhält die Priorität »hoch«. }} || rowspan="3" class="bild" | {{bild| {{#var:wizard5--bild| UTM_v11.8.7_Cluster-Assistent_Schritt5.png }} |hochkant=1.5 |l={{#var:Abb}} 1.9}}
+| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}
+====== {{#var:Cluster Assistent}} {{#var:Schritt}} 5 ======
 |-
-| {{b|{{#var:wizard5--Passphrase| Passphrase:}} }} || {{ic|insecure}} || {{#var:wizard5--Passphrase--desc| Die Passphrase für die Kommunikation der beiden UTMs auf den HA-Schnittstellen (VRR Protokoll) }}
+| {{b|{{#var:wizard5--priorität}} }} || {{Button|{{#var:Hoch}}|dro}} || {{#var:wizard5--priorität--desc}} || rowspan="4" class="bild" | {{bild| {{#var:wizard5--bild}} |hochkant=1.5 |l={{#var:Abb}} 1.9}}
 |-
-| class="hrzeile" colspan="3" | {{#var:wizard5--fertig| Cluster Assistent abschließen mit {{Button| Fertig }} }}
+| {{b|{{#var:wizard5--Passphrase}} }} || {{ic|insecure}} || {{#var:wizard5--Passphrase--desc}}
 |-
-| class="hrzeile"|  {{hrzeile}}<br><i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} }} {{Reiter|{{#var:Schnittstellen}} }}
+| class="hrzeile" colspan="3" | {{#var:wizard5--fertig}}
+|- class="Leerzeile"
+|
+|- class="Leerzeile"
+| colspan="3" | {{hrzeile}}
+====== {{#var:Status der Clusterkonfiguration}} ======
+|- class="Leerzeile"
+| colspan="3" | <i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} | {{#var:Schnittstellen}} }}
 |-
-| {{ic|eth1|bc=#EAE0E0;| c=#444444;}} || {{#var:cluster-schnittstellen--eth1| Schnittstelle benutzt für '''High Availability''' }} || {{#var:cluster-schnittstellen--eth1--desc| Virtuelle IP 192.168.200.1/24<br>IP-Adresse: 192.168.100.2/24 }} || rowspan="5" class="bild" | {{bild|{{#var:cluster-schnittstellen--bild| UTM_v11.8.7_Cluster_Konfig.png }}|hochkant=1.5|l={{#var:Abb}} 1.10}}
+| {{ic|eth1|bc=#EAE0E0;| c=#444444;}} || {{#var:cluster-schnittstellen--eth1}} || {{#var:cluster-schnittstellen--eth1--desc}} || rowspan="5" class="bild" | {{bild|{{#var:cluster-schnittstellen--bild}}|hochkant=1.5|l={{#var:Abb}} 1.10}}
 |-
-| {{ic|eth2|bc=#EAE0E0;| c=#444444;}} || {{#var:cluster-schnittstellen--eth2| Schnittstelle wird benutzt als '''Hotwire''' }} || {{#var:cluster-schnittstellen--eth2--desc| IP-Adresse 192.168.180.2/24 }}
+| {{ic|eth2|bc=#EAE0E0;| c=#444444;}} || {{#var:cluster-schnittstellen--eth2}} || {{#var:cluster-schnittstellen--eth2--desc}}
 |-
-| {{ic|wan0|bc=#EAE0E0;| c=#444444;}} || {{#var:cluster-schnittstellen--wan0| Schnittstelle ist '''beim Backup deaktiviert''' }} ||
+| {{ic|wan0|bc=#EAE0E0;| c=#444444;}} || {{#var:cluster-schnittstellen--wan0}} ||
 |-
-| {{b|{{#var:Clusterstatus|  }}}} || <span style="color:{{Farbe|#515151;}}">⬤</span> ||  {{#var:cluster-schnittstellen--clusterstatus--desc| Der Clusterstatus zeigt noch keinen Zustand an, weil der Cluster noch nicht auf aktiv geschaltet ist. }}
+| {{b|{{#var:Clusterstatus|  }} }} || <i class="fas fa-times-circle fc__down"></i> ||  {{#var:cluster-schnittstellen--clusterstatus--desc}}
 |-
-| {{b|{{#var:Synchronisationsstatus| Synchronisationsstatus: }}}} || <span style="color:{{Farbe|#DD463E;}}">⬤</span> || {{#var:cluster-schnittstellen--sync--desc| Der Synchronisationsstatus steht auf rot, weil die Gegenstelle nicht erreichbar ist. }}
+| {{b|{{#var:Synchronisationsstatus }} }} || <i class="fas fa-exclamation-circle fc__error"></i> || {{#var:cluster-schnittstellen--sync--desc}}
 |-
-| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}<br><i class="host utm">Master</i> {{Menu|Netzwerk | {{#var:Clusterkonfiguration}} }} {{Reiter|{{#var:Einstellungen| Einstelungen }} }}
+| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}
+====== {{#var:Einstellungen für die Clusterkonfiguration}} ======
+|- class="Leerzeile"
+| colspan="3" | <i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} |{{#var:Einstellungen}} }}
 |-
-| rowspan="2" | {{b|{{#var:lokaler-ssh-schlüssel| Lokaler SSH&#8209;Schlüssel: }}}} || {{Button | {{#var:cluster--ssh-button| Neuen lokalen SSH-Schlüssel generieren }} }} || {{#var:cluster--ssh-button--desc| Im Reiter {{ Reiter | Einstellungen}} wird ein SSH Public Key erzeugt. }} || rowspan="2" class="bild" | {{bild| {{#var:cluster--einstellungen--bild| UTM_v11.8.7_Netzwerk_Cluster-Config_Einstellungen.png }} | hochkant=1.5 | l={{#var:Abb}} 1.11}}
+| rowspan="2" | {{b|{{#var:lokaler-ssh-schlüssel}} }} || {{Button | {{#var:cluster--ssh-button}} }} || {{#var:cluster--ssh-button--desc}} || rowspan="3" class="bild" | {{bild| {{#var:cluster--einstellungen--bild}} | hochkant=1.5 | l={{#var:Abb}} 1.11}}
 |-
-| {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] zE0SU=</nowiki><br>''<nowiki>root@master.cluster.local</nowiki>''}} || {{#var:cluster--einstellungen--ssh--desc| SSH-Schlüssel in die Zwischenablage kopieren }}
+| {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] zE0SU=</nowiki><br>''<nowiki>root@master.cluster.local</nowiki>''}} || {{#var:cluster--einstellungen--ssh--desc}}
+|- class="Leerzeile"
+|
 |-
 | class="Leerzeile noborder" colspan="4"| <hr>
 |-
-! colspan="3"| {{h5|Spare-UTM | Spare UTM}} </td><td class="noborder" style="border-top: 0;">
+! colspan="3"| {{h5|Spare-UTM}}'''Spare UTM''' </td><td class="noborder" style="border-top: 0;">
+|- class="Leerzeile"
+| colspan="3" | <br>
+====== {{#var:Konfiguration der Schnittstelle}} ======
+|- class="Leerzeile"
+| colspan="3" class="Leerzeile" | {{#var:spare--login}}<br><i class="host utm">Spare</i> {{Menu| {{#var:Netzwerk}}| {{#var:Clusterkonfiguration}} | {{#var:Schnittstellen}} ||w }}
 |-
-| colspan="3" class="Leerzeile" | <br>{{#var:spare--login| Login über die IP-Adresse 192.168.180.3 auf das Web-Interface der Spare-UTM. }}<br><i class="host utm">Spare</i> {{Menu| {{#var:Netzwerk}}| {{#var:Clusterkonfiguration}} | {{#var:Schnittstellen}} | &shy;|w }}
+| {{b|{{#var:Name}}}} || eth2 || {{ic|eth2}} {{Button| |w}} {{#var:interface--edit}} || rowspan="4" class="bild" | {{bild|{{#var:interface--edit--bild}} |hochkant=1.5 |l={{#var:Abb}} 1.12}}
 |-
-| {{b|{{#var:Name| Name: }}}} || eth2 || {{ic|eth2}} {{Button| |w}} {{#var:interface--edit| Schnittstelle bearbeiten }} || rowspan="4" class="bild" | {{bild|{{#var:interface--edit--bild| UTM_v11.8.7_Netzwerk_Cluster-Config_UTM2_eth2.png }} |hochkant=1.5 |l={{#var:Abb}} 1.12}}
+| {{b|{{#var:Verwendung}}}} || {{ button|{{#var:Verwendung--val}} |dr}} || {{#var:Verwendung--desc}}
 |-
-| {{b|{{#var:Verwendung| Verwendung: }}}} || {{ button|{{#var:Verwendung--val| Schnittstelle als Hotwire benutzen }} |dr}} || {{#var:Verwendung--desc| Die Schnittstelle eth2 der Spare-UTM wird als Hotwire gekennzeichnet. }}
+| {{b| {{#var:lokale-ip}} }} || {{ic|192.168.180.3/24}} || {{#var:spare--lokale-ip--desc}}
 |-
-| {{b| {{#var:lokale-ip|Lokale IP-Adresse:}} }} || {{ic|192.168.180.3/24}} || {{#var:spare--loakle-ip--desc| IP-Adresse der Spare-UTM, die für Hotwire verwendet werden soll. }}
+| {{b| {{#var:remote-ip}} }} || {{ic|192.168.180.2}} || {{#var:spare--remote-ip--desc}}
+|- class="Leerzeile"
+| colspan="3" | {{mobil|<hr>|<br>}}
+====== {{#var:Einstellungen für die Clusterkonfiguration}} ======
+|- class="Leerzeile"
+| colspan="4"| <i class="host utm">Spare</i> {{Menu | {{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} | {{#var:Einstellungen}} }}
 |-
-| {{b| {{#var:remote-ip|Remote IP-Adresse:}} }} || {{ic|192.168.180.2}} || {{#var:spare--remote-ip| IP-Adresse der bereits konfigurierten Master-UTM, die als Hotwire angesprochen werden soll. }}
+| {{b|{{#var:wizard5--priorität}} }} || {{ic| {{#var:Priorität--Spare}} |dr}} || {{#var:Priorität--Spare--desc}} || rowspan="7" class="bild" | {{bild| {{#var:lokaler-ssh-schlüssel--spare--bild}} | hochkant=1.5 | l={{#var:Abb}} 1.13}}
 |-
-| class="Leerzeile noborder" colspan="4"| {{mobil|<hr>|<br>}}<i class="host utm">Spare</i> {{Menu | Netzwerk | {{#var:Clusterkonfiguration}} }} {{Reiter| {{#var:Einstellungen}} }}
+| {{b|{{#var:wizard5--Passphrase}} }} || {{ic|insecure}} || {{#var:wizard5--Passphrase--desc}}
 |-
-| rowspan="2" | {{b|{{#var:lokaler-ssh-schlüssel|Lokaler SSH&#8209;Schlüssel:}} }} || {{Button | {{#var:cluster--ssh-button|Neuen lokalen SSH-Schlüssel generieren}} }} || {{#var:lokaler-ssh-schlüssel--spare--desc| SSH Public Key für die ''Spare-UTM'' erzeugen }} || rowspan="4" class="bild" | {{bild| {{#var:lokaler-ssh-schlüssel--spare--bild| UTM_v11.8.7_Netzwerk_Cluster-Config_Einstellungen-Spare.png }} | hochkant=1.5 | l={{#var:Abb}} 1.13}}
+| rowspan="2" | {{b|{{#var:lokaler-ssh-schlüssel}} }} || {{Button | {{#var:cluster--ssh-button}} }} || {{#var:lokaler-ssh-schlüssel--spare--desc}}
 |-
-| {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] Q1/k=</nowiki><br>''<nowiki>root@spare.cluster.local</nowiki>''}} || {{#var:dont-copy-ssh| SSH-Schlüssel '''noch nicht''' in die Zwischenablage kopieren }}
+| {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] Q1/k=</nowiki><br>''<nowiki>root@spare.cluster.local</nowiki>''}} || {{#var:dont-copy-ssh}}
 |-
-| {{b| {{#var:gegenstelle--ssh-schlüssel| SSH&#8209;Schlüssel der Gegenstelle: }} }} || {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] zE0SU=</nowiki><br>''<nowiki>root@master.cluster.local</nowiki>''}} || {{#var:gegenstelle--ssh-schlüssel--desc| Public-SSH-Key der ''Master-UTM'' aus der Zwischenablage einfügen }}
+| {{b| {{#var:gegenstelle--ssh-schlüssel}} }} || {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] zE0SU=</nowiki><br>''<nowiki>root@master.cluster.local</nowiki>''}} || {{#var:gegenstelle--ssh-schlüssel--desc}}
 |-
-| {{b|{{#var:lokaler-ssh-schlüssel|Lokaler SSH&#8209;Schlüssel:}} }} || colspan="2" | {{#var:spare--copy-ssh| '''Jetzt''' den lokalen Public-SSh-Key der Spare-UTM in die Zwischenablage einfügen. }}
+| {{b|{{#var:lokaler-ssh-schlüssel}} }} || colspan="2" | {{#var:spare--copy-ssh}}
+|- class="Leerzeile"
+|
 |-
-| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}{{#var:wechsel-auf| Wechsel auf }} <i class="host utm">Master</i> {{Menu | {{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} }} {{Reiter| {{#var:Einstellungen}} }}
+| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}{{#var:wechsel-auf}} <i class="host utm">Master</i> {{Menu | {{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} }} {{Reiter| {{#var:Einstellungen}} }}
 |-
-| {{b| {{#var:gegenstelle--ssh-schlüssel|SSH&#8209;Schlüssel der Gegenstelle:}} }} || {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] Q1/k=</nowiki><br>''<nowiki>root@spare.cluster.local</nowiki>''}} || colspan="2" | {{#var:spare--paste-ssh| Public-Key der Spare-UTM aus der Zwischenablage einfügen. }} {{info| {{#var:spare--paste-ssh--info| Auf der ''Master-UTM'' ist entspicht die ''Spare-UMT'' der Gegenstelle }} }}
+| {{b| {{#var:gegenstelle--ssh-schlüssel}} }} || {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] Q1/k=</nowiki><br>''<nowiki>root@spare.cluster.local</nowiki>''}} || colspan="2" | {{#var:spare--paste-ssh}} {{info| {{#var:spare--paste-ssh--info}} }}
 |-
-| colspan="4" class="Leerzeile" | {{mobil|<hr>}}{{#var:ssh-auf-beiden-seiten| Auf beiden Seiten sollte sich nun ein lokaler SSH Schlüssel und jeweils der SSH Schlüssel der Gegenstelle gefinden. Speichern der Einstellungen auf beiden UTMs in diesem Dialog durch Betätigung der {{Button|Speichern}} Schaltfläche.  }}
+| colspan="4" class="Leerzeile" | {{mobil|<hr>}}{{#var:ssh-auf-beiden-seiten}}
 |-
-| {{b|{{#var:Synchronisationsstatus}} }} ||<span style="color:{{Farbe|#E9C321;}}">⬤</span> ||colspan="2" |  {{#var:Synchronisationsstatus--gelb--desc| Der Synchronisationsstatus sollte nun von rot zu orange wechseln. Das bedeutet, die beiden UTMs sehen sich über die Hotwire-Schnittstelle, jedoch ist die Konfiguration noch nicht synchronisiert. <br>{{Hinweis|! § Der Status wird in bestimmten Intervallen aktualisiert. In dem Reiter {{Reiter |Schnittstellen}} kann die Aktualisierung mit der Synchronisieren-Schaltfläche {{button||refresh}} manuell ausgelöst werden.|g}}  }}
+| {{b|{{#var:Synchronisationsstatus}} }} || <i class="fas fa-clock fc__hint"></i> ||colspan="2" |  {{#var:Synchronisationsstatus--gelb--desc}}
 |-
-| class="Leerzeile" colspan="3"|<i class="host utm">Master</i> {{button| {{#var:konfig-sync| Konfiguration synchronisieren }} }}
+| class="Leerzeile" colspan="3"|<i class="host utm">Master</i> {{button| {{#var:konfig-sync}} }}
 |-
-| {{b|{{#var:Synchronisationsstatus}} }} || <span style="color:{{Farbe|#3EAB30;}}">⬤</span>||colspan="2" |  {{#var:Synchronisationsstatus--success| Wenn die Synchronisation erfolgreich abgeschlossen wurde, steht jetzt der Synchronisationsstatus auf grün. Die beiden UTMs sind abgeglichen.<br>Dieser Vorgang kann überprüft werden, indem auf der Spare-UTM eine Konfiguration aufgerufen wird, die im Master verändert wurde.<br>
+| {{b|{{#var:Synchronisationsstatus}} }} || <i class="fas fa-check-circle fc__up"></i> ||colspan="2" |  {{#var:Synchronisationsstatus--success}} <br>
-Die Cluster {{b|Priorität}} {{Menu|Netzwerk|Clusterkonfiguration}} {{Reiter|Einstellungen}} der Spare-UTM (Backup) wurde automatisch auf niedrig gestellt. }} <br>
+{{Hinweis|! § {{#var:Synchronisationsstatus--success--hinweis}} |g}}
-{{Hinweis|! § {{#var:Synchronisationsstatus--success--hinweis| Würde die Priorität auf der jetzigen Spare-UTM auf hoch gestellt und von da aus auch die Konfiguration synchronisiert werden, würde die erste Maschine automatisch zum Spare degradiert und die vormals Spare-UTM zum Master. }} |g}}
 |-
-| class="Leerzeile" colspan="3" | {{mobil|<hr>}}<br>'''{{#var:cluster-aktivieren| Cluster aktivieren }}'''<br><i class="host utm">Master</i> & <i class="host utm">Spare</i> {{Menu|{{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} | {{#var:Einstelungen}} }}
+| class="Leerzeile" colspan="3" | {{mobil|<hr>}}<br>
+====== {{#var:cluster-aktivieren}} ======
+|- class="Leerzeile"
+| colspan="3" | <i class="host utm">Master</i> & <i class="host utm">Spare</i> {{Menu|{{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} | {{#var:Einstellungen}} }}
 |-
-| colspan="3" | <br>{{#var:externe-schnittstelle--dsl| Externe Interfaces an das DSL-Modem anschließen}} || class="bild" rowspan="4" | {{bild|{{#var:cluster-konfig--ergebnis--bild| UTM_v11.8.7_Cluster_Konfig_Ergebnis.png }}|hochkant=1.5| {{#var:Abb}} 1.14 }}
+| colspan="3" | <li class="list--element__alert list--element__hint">{{#var:externe-schnittstelle--dsl}}</li> || class="bild" rowspan="5" | {{bild|{{#var:cluster-konfig--ergebnis--bild}}|hochkant=1.5| {{#var:Abb}} 1.14 }}
 |-
-| {{b|{{#var:Cluster| Cluster}}: }} || {{ButtonAn|{{#var:ein}} }} ||
+| {{b|{{#var:Cluster}}: }}
-{{#var:cluster-aktivieren--ein--desc| Dieser Schritt muss auf '''beiden UTMs''' ausgeführt werden. }}
+| {{ButtonAn|{{#var:ein}} }}
+| {{#var:cluster-aktivieren--ein--desc}}
 |-
-| rowspan="2" | {{b| {{#var:Clusterstatus}} }} || {{#var:cluster--master| Auf der Master-UTM: }} <span style="color:{{Farbe|#3EAB30;}}">⬤</span> || {{#var:cluster--master--desc| Der Cluster ist nun in Betrieb und der Master des Clusters hat unsere virtuelle IP-Adresse 192.168.200.1 auf dem internen Interface. }}
+| rowspan="2" | {{b| {{#var:Clusterstatus}} }} || {{#var:cluster--master}} <i class="fas fa-check-circle fc__up"></i> || {{#var:cluster--master--desc}}
 |-
-| class="no1cell" | {{#var:cluster--spare| Auf der Spare-UTM: }} <span style="color:{{Farbe|#E9C321;}}">⬤</span> || {{#var:cluster--spare--desc| Die Spare-UTM läuft als Hot-Standby im Backup-Modus im Hintergrund }}
+| class="no1cell" | {{#var:cluster--spare}} <i class="fas fa-clock fc__hint"></i> || {{#var:cluster--spare--desc}}
+|- class="Leerzeile"
+|
 |}
+{{#var:status--desc}}
-{{#var:status--desc|Sollte der Status nicht sofort aktualisiert werden, kann das auch hier wieder über die Schaltfläche zum Aktualisieren {{Button||renew}} manuell ausgelöst werden. }}
 ----
-=== {{#var:konfig--extern| Beispiel Konfiguration: Externer Router }} ===
+=== {{#var:konfig--extern}} ===
-{{#var:konfig--extern--desc| In diesem Beispiel wird eine Konfiguration mit einem externen Router beschrieben. Der Router ist das Gateway zum Internet. Eventuell wurde vom Provider ein öffentliches Netz zur Verfügung gestellt. In diesem Beispiel wird ein privates Netz verwendet. Die Vorgehensweise ist dann analog zum öffentlichen Netz. Hier werden nun zwei HA-Schnittstellen konfiguriert. Eine für die interne und eine für die externe Schnittstelle. }}
+<div class="Einrücken">{{#var:konfig--extern--desc}}</div>
 ==== {{#var:Netzwerkkonfiguration}} ====
+<div class="Einrücken">
+{{#var:extern--nk--desc}}
-{{#var:extern--nk--desc| '''Erstes Mitglied…}}
+{{#var:Netzwerkkonfiguration--extern--virtuelle-ip}}
+</div>
-{{#var:Netzwerkkonfiguration--extern--virtuelle-ip| Die virtuellen IP-Adressen, die sich beide Mitglieder des Clusters teilen werden, sind die IP-Adressen 192.168.200.1/24 für die internen Schnittstellen und 192.168.175.101/24 für die extern Schnittstellen (zum Router).<br>
-Die virtuelle IP-Adresse 192.168.200.1 ist das Standard-Gateway des internen Netzwerks. }}
 ----
-==== {{#var:Inbetriebnahme|Inbetriebnahme der UTMs}} ====
+==== {{#var:Inbetriebnahme}} ====
-{{#var:inbetriebnahme--extern--desc| Zur Inbetriebnahme des UTM-Clusters wird zunächst der Installationsassistent verwendet. Diese Einrichtung wird auf jeder UTM separat durchgeführt. Die Konfiguration der beiden UTMs unterscheidet sich bis zu diesem Zeitpunkt allein durch die interne und externe IP-Adresse. Im letzten Schritt des Installationsassistenten wird die Cluster-Lizenz ausgewählt. Nach Abschluss des Assistenten werden die UTMs neu gestartet. }}
+<div class="Einrücken">{{#var:inbetriebnahme--extern--desc}}</div>
 ----
 ==== {{#var:Hotwire-Schnittstelle}} ====
-{{#var:inbetriebnahme--hotwire--desc|Die UTMs werden nun physikalisch über die Hotwire-Schnittstelle verbunden. Diese muss auf den Maschinen den gleiche Port belegen, zum Beispiel LAN3/eth2.}}
+<div class="Einrücken">{{#var:inbetriebnahme--hotwire--desc}}</div>
 ----
 ==== {{#var:Cluster-Konfiguration}} ====
+{| class="sptable2 pd5 zh1 Einrücken"
-{| class="sptable2 pd5"
 |+ {{#var:Cluster-Konfiguration}}
 |-
-! colspan="3" | {{h5| Master-UTM |Master-UTM}}
+! colspan="3" | {{h5| Master UTM}}'''Master UTM'''
-|-
+|- class="Leerzeile"
-| class="Leerzeile" colspan="3" | '''{{#var:ip-hotwire|IP-Adresse der zukünftigen Hotwire-Schnittstelle}}'''<br><i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}} | {{#var:Netzwerkkonfiguration}} }} {{ic|eth2}} → {{Button||w}} {{Reiter|{{#var:IP-Adressen}} }}
+| colspan="3" |
-|-
+====== {{#var:ip-hotwire}} ======
-| {{b|{{#var:IP-Adressen:}} }} || style="min-width: 165px" |{{ic|{{cb|192.168.180.2/24}} |pd=5px 5px 2em 5px|lh=1.5em}} || {{#var:ip-adressen--desc|In der Clickbox wird die IP-Adresse der zukünftigen Hotwire-Schnittstelle hinzugefügt. <br>Im Beispiel bekommt LAN3/eth2 die IP-Adresse 192.168.180.2/24.}} || rowspan="1" class="bild" | {{bild|{{#var:cluster-schnittstelle--bild|UTM v11.8.7 Cluster Schnittstelle1.png}} |hochkant=1.5|l={{#var:Abb}} 1.4}}
+|- class="Leerzeile"
-|-
+| colspan="3" | <i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}} | {{#var:Netzwerkkonfiguration}} }} {{ic|eth2}} → {{Button||w}} {{Reiter|{{#var:IP-Adressen}} }}
-| class="hrzeile"|  {{hrzeile}}<br> {{#var:wizard1--head|Start des Cluster-Setup-Wizard unter}} <i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}}|{{#var:Clusterkonfiguration}} }} {{button|{{#var:Cluster Assistent|cla}}|+}}<br>'''{{#var:Cluster Assistent|clus}} {{#var:Schritt|step}} 1'''
 |-
-| {{b| {{#var:Hotwire-Schnittstelle}}|hw }} || {{Button|eth2: 192.168.180.2/24|dr}} || {{Hinweis|!|r}} {{#var:wizard1--hotwire--desc|Auf beiden Geräten muss die gleiche Schnitstelle gewählt werden!}} || rowspan="3" class="bild" | {{bild| {{#var:wizard1--hotwire--bild|UTM_v11.8.7_Cluster-Assistent_Schritt1.png}} | hochkant=1.5 | l={{#var:Abb}} 1.5}}
+| {{b|{{#var:IP-Adressen}}: }} || style="min-width: 165px" |{{ic|{{cb|192.168.180.2/24}} |pd=5px 5px 2em 5px|lh=1.5em}} || {{#var:ip-adressen--desc}} || rowspan="2" class="bild" | {{bild|{{#var:cluster-schnittstelle--bild}} |hochkant=1.5|l={{#var:Abb}} 1.4}}
+|- class="Leerzeile"
+|
 |-
-| {{b| {{#var:lokale-ip|Lokale IP&#8209;Adresse:}} }} || {{ic| 192.168.180.2/24}} || {{#var:wizard1--lokale-ip--desc|IP-Adresse der Master-UTM}}
+| class="hrzeile"|  {{hrzeile}}<br> {{#var:wizard1--head}} <i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}}|{{#var:Clusterkonfiguration}}|{{#var:Cluster Assistent}}|+}}
+|- class="Leerzeile"
+| colspan="3" |
+======{{#var:Cluster Assistent}} {{#var:Schritt}} 1 ======
 |-
-| {{b| {{#var:remote-ip|Remote IP&#8209;Adresse:}} }} ||  {{ic | 192.168.180.3 }} || {{#var:wizard1--remote-ip--desc|IP-Adresse der Hotwire-Gegenstelle (Spare-UTM) }}
+| {{b| {{#var:Hotwire-Schnittstelle}}|hw }} || {{Button|eth2: 192.168.180.2/24|dr}} || {{Hinweis|!|r}} {{#var:wizard1--hotwire--desc}} || rowspan="4" class="bild" | {{bild| {{#var:wizard1--hotwire--bild|UTM_v11.8.7_Cluster-Assistent_Schritt1.png}} | hochkant=1.5 | l={{#var:Abb}} 1.5}}
 |-
-| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}'''{{#var:Cluster Assistent}} {{#var:Schritt}} 2'''
+| {{b| {{#var:lokale-ip|Lokale IP&#8209;Adresse:}} }} || {{ic| 192.168.180.2/24}} || {{#var:wizard1--lokale-ip--desc}}
 |-
-| {{ b| {{#var:Schnittstelle}} }} || {{Button|eth1|dr}} || {{#var:wizard2--schnittstelle--desc|Das zukünftige HA-Interface. Im Beispiel die interne Schnittstelle.}} || rowspan="3" class="bild" | {{bild|{{#var:wizard2--bild|UTM_v11.8.7_Cluster-Assistent_Schritt2.png}} |hochkant=1.5 | l={{#var:Abb}} 1.6}}
+| {{b| {{#var:remote-ip|Remote IP&#8209;Adresse:}} }} ||  {{ic | 192.168.180.3 }} || {{#var:wizard1--remote-ip--desc}}
+|- class="Leerzeile"
+|
+|- class="Leerzeile"
+| colspan="3"| {{mobil|<hr>|<br>}}
+====== {{#var:Cluster Assistent}} {{#var:Schritt}} 2 ======
 |-
-| {{b| {{#var:virtuelle-ip|Virtuelle IP&#8209;Adresse:}} }} || {{ic|192.168.200.1/24}} || {{#var:virtuelle-ip--desc|Die virtuelle IP-Adresse soll 192.168.200.1 sein. Es können auf einer HA-Schnittstelle auch mehrere virtuelle IP-Adressen liegen.}}
+| {{ b| {{#var:Schnittstelle}} }} || {{Button|eth1|dr}} || {{#var:wizard2--schnittstelle--desc}} || rowspan="4" class="bild" | {{bild|{{#var:wizard2--bild}} |hochkant=1.5 | l={{#var:Abb}} 1.6}}
 |-
-|colspan="3" | {{Hinweis | ! § {{#var:wizard2--hinweis--dhcp|Bei Verwendung der UTM als DHCP-Server dürfen diese IP-Adressen nicht in der gleichen [http://de.wikipedia.org/wiki/Broadcast_Domain Broadcast Domain ] der anderen IP-Adressen liegen.}} {{info| {{#var:wizard2--hinweis--info|Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren.}} }} |r}}<br>{{Hinweis|! § {{#var:wizard2--hinweis--ha|Nachdem der Wizard durchlaufen wurde, können auch weitere HA-Schnittstellen konfiguriert werden.}} |g}}
+| {{b| {{#var:wizard2--virtuelle-ip}} }} || {{ic|192.168.200.1/24}} || {{#var:wizard2--virtuelle-ip--desc}}
 |-
-| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}'''{{#var:Cluster Assistent}} {{#var:Schritt}} 3''' || class="noborder" |
+|colspan="3" |
+<li class="list--element__alert list--element__warning">{{#var:wizard2--hinweis--dhcp}} {{info| {{#var:wizard2--hinweis--info}} }}</li>
+<li class="list--element__alert list--element__hint">{{#var:wizard2--hinweis--ha}}</li>
+|- class="Leerzeile"
+| colspan="3"| {{mobil|<hr>|<br>}}
+====== {{#var:Cluster Assistent}} {{#var:Schritt}} 3 ======
 |-
-| colspan="2" | {{b|{{#var:wizard3--deaktivierte|Deaktivierte Schnittstellen während das Gerät im Backup Modus ist:}} }} || {{#var:wizard3--deaktivierte-non--desc| Schnittstellen, die auf dem Backup-System, der Spare-UTM, '''nicht''' hochgefahren werden. <!--********-->In dieser Konfiguration ist das '''nicht erforderlich''' }} || rowspan="1" class="bild" | {{bild| {{#var:wizard3b--bild| UTM_v11.8.7_Cluster-Assistent_Schritt3b.png }} |hochkant=1.5 | l={{#var:Abb}} 1.7}}
+| colspan="2" | {{b|{{#var:wizard3--deaktivierte}} }} || {{#var:wizard3--deaktivierte-non--desc}} || rowspan="2" class="bild" | {{bild| {{#var:wizard3--bild}} |hochkant=1.5 | l={{#var:Abb}} 1.7}}
+|- class="Leerzeile"
+|
 |-
-| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}'''{{#var:Cluster Assistent}} {{#var:Schritt}} 4'''
+| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}
+====== {{#var:Cluster Assistent}} {{#var:Schritt}} 4 ======
 |-
-| colspan="2" | {{b|{{#var:wizard4--deaktivierte|Deaktivierte Anwendungen während das Gerät im Backup Modus ist:}} }}{{ic| {{cb|Clientless VPN|-}} {{cb|DHCP Server|-}} {{cb|Greylisting Filter|-}} {{cb|HTTP Proxy|-}} {{cb|IPSEC|-}} {{cb|L2TP VPN|-}} {{cb|Mailrelay|-}} {{cb|POP3 Proxy|-}} {{cb|Routing Daemon|-}} {{cb|SPF Filter|-}} {{cb|SSL-VPN|-}} {{cb|Spamfilter|-}} {{cb|WLAN Server|-}} |pd=5px}}<small>'''Default'''</small>  || {{#var:wizard4--deaktivierte--desc|Per Default sind hier Anwendungen aufgeführt, die, sofern sich die Spare-UTM im Backup-Modus befindet, deaktiviert sein sollen}} || rowspan="1" class="bild" | {{bild| {{#var:wizard4--bild|UTM_v11.8.7_Cluster-Assistent_Schritt4.png}} |hochkant=1.5 |l={{#var:Abb}} 1.8}}
+| colspan="2" | {{b|{{#var:wizard4--deaktivierte}} }}{{ic| {{cb|Clientless VPN|-}} {{cb|DHCP Server|-}} {{cb|Greylisting Filter|-}} {{cb|HTTP Proxy|-}} {{cb|IPSEC|-}} {{cb|L2TP VPN|-}} {{cb|Mailrelay|-}} {{cb|POP3 Proxy|-}} {{cb|Routing Daemon|-}} {{cb|SPF Filter|-}} {{cb|SSL-VPN|-}} {{cb|Spamfilter|-}} {{cb|WLAN Server|-}} |pd=5px}}<small>'''Default'''</small>  || {{#var:wizard4--deaktivierte--desc}} || rowspan="2" class="bild" | {{bild| {{#var:wizard4--bild|UTM_v11.8.7_Cluster-Assistent_Schritt4.png}} |hochkant=1.5 |l={{#var:Abb}} 1.8}}
+|- class="Leerzeile"
+|
 |-
-| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}'''{{#var:Cluster Assistent}} {{#var:Schritt}} 5'''
+| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}
+====== {{#var:Cluster Assistent}} {{#var:Schritt}} 5 ======
 |-
-| {{b|{{#var:Priorität}} }} || {{Button|{{#var:Hoch}}|dro}} || {{#var:wizard5--priorität--desc|Die Master-UTM erhält die Priorität »hoch«.}} || rowspan="3" class="bild" | {{bild| {{#var:wizzard5--bild|UTM_v11.8.7_Cluster-Assistent_Schritt5.png}}|hochkant=1.5 |l={{#var:Abb}} 1.9}}
+| {{b|{{#var:wizard5--priorität}} }} || {{Button|{{#var:Hoch}}|dro}} || {{#var:wizard5--priorität--desc}} || rowspan="4" class="bild" | {{bild| {{#var:wizard5--bild}}|hochkant=1.5 |l={{#var:Abb}} 1.9}}
 |-
 | {{b|{{#var:wizard5--Passphrase}} }} || {{ic|insecure}} || {{#var:wizard5--Passphrase--desc|Die Passphrase für die Kommunikation der beiden UTMs auf den HA-Schnittstellen (VRR Protokoll) }}
 |-
-| class="hrzeile no1cell" colspan="3" | {{#var:wizard5--fertig|Cluster Assistent abschließen mit {{Button| Fertig }} }}
+| class="hrzeile no1cell" colspan="3" | {{#var:wizard5--fertig}}
-|-
+|- class="Leerzeile"
-| class="hrzeile"|  {{hrzeile}}<br><i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} | {{#var:Schnittstellen}} }}
+|
+|- class="Leerzeile"
+| class="hrzeile"|  {{hrzeile}}
+====== {{#var:Status der Clusterkonfiguration}} ======
+|- class="Leerzeile"
+| colspan="3" | <i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} | {{#var:Schnittstellen}} }}
 |-
-|{{ic|eth0|bc=#EDEDED;| c=#444444;}} ||<small>{{#var:cluster-schnittstellen--eth0| (Schnittstelle ist noch nicht für HA konfiguriert) }}</small> || {{#var:cluster-schnittstellen--eth0--desc| ''IP-Adresse'' 192.168.175.102/24 }} || rowspan="5" class="bild" | {{bild|{{#var:cluster-schnittstellen-extern--bild| UTM_v11.8.7_Cluster_Konfig-exr.png }}|hochkant=1.5|l={{#var:Abb}} 1.10}}
+|{{ic|eth0|bc=#EDEDED;| c=#444444;}} ||<small>{{#var:cluster-schnittstellen--eth0}}</small> || {{#var:cluster-schnittstellen--eth0--desc}} || rowspan="5" class="bild" | {{bild|{{#var:cluster-schnittstellen-extern--bild}}|hochkant=1.5|l={{#var:Abb}} 1.10}}
 |-
-| {{ic|eth1|bc=#EAE0E0;| c=#444444;}} || {{#var:cluster-schnittstellen--eth1|Schnittstelle benutzt für '''High Availability'''}} || {{#var:cluster-schnittstellen--eth1--desc--desc|''Virtuelle&nbsp;IP-Adresse: ''192.168.200.1/24<br>''IP-Adresse:'' 192.168.100.2/24 }}
+| {{ic|eth1|bc=#EAE0E0;| c=#444444;}} || {{#var:cluster-schnittstellen--eth1}} || {{#var:cluster-schnittstellen--eth1--desc}}
 |-
-| {{ic|eth2|bc=#EAE0E0;| c=#444444;}} || {{#var:cluster-schnittstellen--eth2|Schnittstelle wird benutzt als '''Hotwire'''}} || {{#var:cluster-schnittstellen--eth2--desc|IP-Adresse 192.168.180.2/24}}
+| {{ic|eth2|bc=#EAE0E0;| c=#444444;}} || {{#var:cluster-schnittstellen--eth2}} || {{#var:cluster-schnittstellen--eth2--desc}}
 |-
-| {{ic|wan0|bc=#EAE0E0;| c=#444444;}} || {{#var:cluster-schnittstellen--wan0|Schnittstelle ist '''beim Backup deaktiviert'''}} ||
+| {{ic|wan0|bc=#EAE0E0;| c=#444444;}} || {{#var:cluster-schnittstellen--wan0}} ||
 |-
-| {{b|{{#var:Clusterstatus}} }} || <span style="color:{{Farbe|#515151;}}">⬤</span> ||  {{#var:cluster-schnittstellen--clusterstatus--desc|Der Clusterstatus zeigt noch keinen Zustand an, weil der Cluster noch nicht auf aktiv geschaltet ist.}}
+| {{b|{{#var:Clusterstatus}} }} || <i class="fas fa-times-circle fc__down"></i> ||  {{#var:cluster-schnittstellen--clusterstatus--desc}}
 |-
-| {{b|{{#var:Synchronisationsstatus}} }} || <span style="color:{{Farbe|#DD463E;}}">⬤</span> || {{#var:cluster-schnittstellen--sync--desc|Der Synchronisationsstatus steht auf rot, weil die Gegenstelle nicht erreichbar ist.}}
+| {{b|{{#var:Synchronisationsstatus}} }} || <i class="fas fa-exclamation-circle fc__error"></i> || {{#var:cluster-schnittstellen--sync--desc}}
 |-
-| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}<br><i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} | {{#var:Einstelungen}} }}
+| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}
+====== {{#var:Einstellungen für die Clusterkonfiguration}} ======
+|- class="Leerzeile"
+| colspan="3" | <i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} | {{#var:Einstellungen}} }}
 |-
-| rowspan="2" | {{b|{{#var:lokaler-ssh-schlüssel|Lokaler SSH&#8209;Schlüssel:}} }} || {{Button | {{#var:cluster--ssh-button|Neuen lokalen SSH-Schlüssel generieren}} }} || {{#var:cluster--ssh-button--desc|Im Reiter {{ Reiter | Einstellungen}} wird ein SSH Public Key erzeugt.}} || rowspan="2" class="bild" | {{bild| {{#var:cluster--einstellungen--bild|UTM_v11.8.7_Netzwerk_Cluster-Config_Einstellungen.png}} | hochkant=1.5 | l={{#var:Abb}} 1.11}}
+| rowspan="2" | {{b|{{#var:lokaler-ssh-schlüssel|Lokaler SSH&#8209;Schlüssel:}} }} || {{Button | {{#var:cluster--ssh-button}} }} || {{#var:cluster--ssh-button--desc}} || rowspan="3" class="bild" | {{bild| {{#var:cluster--einstellungen--bild}} | hochkant=1.5 | l={{#var:Abb}} 1.11}}
 |-
-| {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] zE0SU=</nowiki><br>''<nowiki>root@master.cluster.local</nowiki>''}} || {{#var:cluster--einstellungen--ssh--desc|SSH-Schlüssel in die Zwischenablage kopieren}}
+| {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] zE0SU=</nowiki><br>''<nowiki>root@master.cluster.local</nowiki>''}} || {{#var:cluster--einstellungen--ssh--desc}}
+|- class="Leerzeile"
+|
 |-
 | class="Leerzeile noborder" colspan="4"| <hr>
 |-
-! colspan="3"| {{h5|Spare-UTM | Spare UTM}} </td><td class="noborder" style="border-top: 0;">
+! colspan="3"|
+{{h5 | Spare UTM}}'''Spare UTM'''
+|- class="Leerzeile"
+| colspan="3" |{{a|3}}
+====== {{#var:Konfiguration der Schnittstelle}} ======
+|- class="Leerzeile"
+|colspan="3" | {{#var:spare--login}}<br><i class="host utm">Spare</i> {{Menu| {{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} | {{#var:Schnittstellen}} }}
 |-
-| colspan="3" class="Leerzeile" | <br>{{#var:spare--login|Login über die IP-Adresse 192.168.180.3 auf das Web-Interface der Spare-UTM.}}<br><i class="host utm">Spare</i> {{Menu| {{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} | {{#var:Schnittstellen}} }}
+| {{b|{{#var:Name}} }} || eth2 || {{ic|eth2}} {{b| |w}} {{#var:interface--edit}} || rowspan="5" class="bild" | {{bild|{{#var:interface--edit--bild}}|hochkant=1.5 |l={{#var:Abb}} 1.12}}
 |-
-| {{b|{{#var:Name}} }} || eth2 || {{ic|eth2}} {{b| |w}} {{#var:interface--edit|Schnittstelle bearbeiten}} || rowspan="4" class="bild" | {{bild|{{#var:interface--edit--bild|UTM_v11.8.7_Netzwerk_Cluster-Config_UTM2_eth2.png}}|hochkant=1.5 |l={{#var:Abb}} 1.12}}
+| {{b|{{#var:Verwendung}} }} || {{ button| {{#var:Verwendung--val}}|dr}} || {{#var:Verwendung--desc}}
 |-
-| {{b|{{#var:Verwendung}} }} || {{ button| {{#var:verwendung--val|Schnittstelle als Hotwire benutzen}}|dr}} || {{#var:verwendung--desc|Die Schnittstelle eth2 der Spare-UTM wird als Hotwire gekennzeichnet.}}
+| {{b| {{#var:lokale-ip}} }} || {{ic|192.168.180.3/24}} || {{#var:spare--lokale-ip--desc}}
 |-
-| {{b| {{#var:lokale-ip|Lokale IP-Adresse}} }} || {{ic|192.168.180.3/24}} || {{#var:spare--lokale-ip--desc|IP-Adresse der Spare-UTM, die für Hotwire verwendet werden soll.}}
+| {{b| {{#var:remote-ip}} }} || {{ic|192.168.180.2}} || {{#var:spare--remote-ip--desc}}
+|- class="Leerzeile"
+|
+|- class="Leerzeile"
+| colspan="4"| {{mobil|<hr>|{{a|3}} }}
+====== {{#var:Einstellungen für die Clusterkonfiguration}} ======
+|- class="Leerzeile"
+| colspan="3" | <i class="host utm">Spare</i> {{Menu | {{#var:Netzwerk}} |{{#var:Clusterkonfiguration}} | {{#var:Einstellungen}} }}
 |-
-| {{b| {{#var:remote-ip|Remote IP-Adresse:}} }} || {{ic|192.168.180.2}} || {{#var:spare--remote-ip--desc|IP-Adresse der bereits konfigurierten Master-UTM, die als Hotwire angesprochen werden soll.}}
+| {{b|{{#var:wizard5--priorität}} }} || {{ic| {{#var:Priorität--Spare}} |dr}} || {{#var:Priorität--Spare--desc}} || rowspan="7" class="bild" | {{bild| {{#var:lokaler-ssh-schlüssel--spare--bild}} | hochkant=1.5 | l={{#var:Abb}} 1.13}}
 |-
-| class="Leerzeile noborder" colspan="4"| {{mobil|<hr>|<br>}}<i class="host utm">Spare</i> {{Menu | {{#var:Netzwerk}} |{{#var:Clusterkonfiguration}} | {{#var:Einstellungen}} }}
+| {{b|{{#var:wizard5--Passphrase}} }} || {{ic|insecure}} || {{#var:wizard5--Passphrase--desc}}
 |-
-| rowspan="2" | {{b|{{#var:lokaler-ssh-schlüssel|Lokaler SSH&#8209;Schlüssel:}} }} || {{Button | {{#var:cluster--ssh-button|Neuen lokalen SSH-Schlüssel generieren}} }} || {{#var:cluster--ssh-button--desc|SSH Public Key für die ''Spare-UTM'' erzeugen}} || rowspan="4" class="bild" | {{bild| {{#var:lokaler-ssh-schlüssel--spare--bild|UTM_v11.8.7_Netzwerk_Cluster-Config_Einstellungen-Spare.png}} | hochkant=1.5 | l={{#var:Abb}} 1.13}}
+| rowspan="2" | {{b|{{#var:lokaler-ssh-schlüssel|Lokaler SSH&#8209;Schlüssel:}} }} || {{Button | {{#var:cluster--ssh-button}} }} || {{#var:cluster--ssh-button--desc}}
 |-
-| {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] Q1/k=</nowiki><br>''<nowiki>root@spare.cluster.local</nowiki>''}} || {{#var:dont-copy-ssh|SSH-Schlüssel '''noch nicht''' in die Zwischenablage kopieren}}
+| {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] Q1/k=</nowiki><br>''<nowiki>root@spare.cluster.local</nowiki>''}} || {{#var:dont-copy-ssh}}
 |-
-| {{b| {{#var:gegenstelle--ssh-schlüssel|SSH&#8209;Schlüssel der Gegenstelle:}} }} || {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] zE0SU=</nowiki><br>''<nowiki>root@master.cluster.local</nowiki>''}} || {{#var:gegenstelle--ssh-schlüssel--desc|Public-SSH-Key der ''Master-UTM'' aus der Zwischenablage einfügen}}
+| {{b| {{#var:gegenstelle--ssh-schlüssel}} }} || {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] zE0SU=</nowiki><br>''<nowiki>root@master.cluster.local</nowiki>''}} || {{#var:gegenstelle--ssh-schlüssel--desc}}
 |-
-| {{b|{{#var:lokaler-ssh-schlüssel|Lokaler SSH&#8209;Schlüssel:}} }} || colspan="2" | {{#var:spare--copy-ssh|'''Jetzt''' den lokalen Public-SSh-Key der Spare-UTM in die Zwischenablage einfügen.}}
+| {{b|{{#var:lokaler-ssh-schlüssel}} }} || colspan="2" | {{#var:spare--copy-ssh}}
 |-
 | class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}{{#var:Wechsel-auf}} <i class="host utm">Master</i> {{Menu | {{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} | {{#var:Einstellungen}} }}
+|- class="Leerzeile"
+|
 |-
-| {{b| {{#var:gegenstelle--ssh-schlüssel|SSH&#8209;Schlüssel der Gegenstelle:}} }} || {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] Q1/k=</nowiki><br>''<nowiki>root@spare.cluster.local</nowiki>''}} || colspan="2" | {{#var:spare--paste-ssh|Public-Key der Spare-UTM aus der Zwischenablage einfügen.}} {{info| {{#var:spare--paste-ssh--info|Auf der ''Master-UTM'' entspicht die ''Spare-UMT'' der Gegenstelle}} }}
+| {{b| {{#var:gegenstelle--ssh-schlüssel}} }} || {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] Q1/k=</nowiki><br>''<nowiki>root@spare.cluster.local</nowiki>''}} || colspan="2" | {{#var:spare--paste-ssh}} {{info| {{#var:spare--paste-ssh--info}} }}
 |-
-| colspan="4" class="Leerzeile" | {{mobil|<hr>}}{{#var:ssh-auf-beiden-seiten|Auf beiden Seiten sollte sich nun ein lokaler SSH Schlüssel und jeweils der SSH Schlüssel der Gegenstelle gefinden. Speichern der Einstellungen auf beiden UTMs in diesem Dialog durch Betätigung der {{Button|Speichern}} Schaltfläche.}}
+| colspan="4" class="Leerzeile" | {{mobil|<hr>}}{{#var:ssh-auf-beiden-seiten}}
 |-
-| {{b|{{#var:Synchronisationsstatus}} }} ||<span style="color:{{Farbe|#E9C321;}}">⬤</span> || colspan="2" |  {{#var:Synchronisationsstatus--gelb--desc|Der Synchronisationsstatus sollte nun von rot zu orange wechseln. Das bedeutet, die beiden UTMs sehen sich über die Hotwire-Schnittstelle, jedoch ist die Konfiguration noch nicht synchronisiert. <br>{{Hinweis|!|g}} Der Status wird in bestimmten Intervallen aktualisiert. In dem Reiter {{Reiter |Schnittstellen}} kann die Aktualisierung mit der Synchronisieren-Schaltfläche {{button||refresh}} manuell ausgelöst werden.}}
+| {{b|{{#var:Synchronisationsstatus}} }} || <i class="fas fa-clock fc__hint"></i> || colspan="2" |  {{#var:Synchronisationsstatus--gelb--desc}}
 |-
 | class="Leerzeile" colspan="3"| <i class="host utm">Master</i>
 |-
-| {{b|{{#var:Synchronisationsstatus}} }} || <span style="color:{{Farbe|#3EAB30;}}">⬤</span>||colspan="2" |  {{#var:Synchronisationsstatus--success|Wenn die Synchronisation erfolgreich abgeschlossen wurde, steht jetzt der Synchronisationsstatus auf grün. Die beiden UTMs sind abgeglichen.<br>Dieser Vorgang kann überprüft werden, indem auf der Spare-UTM eine Konfiguration aufgerufen wird, die im Master verändert wurde.<br>
+| {{b|{{#var:Synchronisationsstatus}} }} || <i class="fas fa-check-circle fc__up"></i> ||colspan="2" |  {{#var:Synchronisationsstatus--success}} <br>
-Die Cluster {{b|Priorität}} {{Menu|Netzwerk|Clusterkonfiguration}} {{Reiter|Einstellungen}} der Spare-UTM (Backup) wurde automatisch auf niedrig gestellt.}} <br>
+{{Hinweis|! § {{#var:Synchronisationsstatus--success--hinweis}} |g}}
-{{Hinweis|! § {{#var:Synchronisationsstatus--success--hinweis| Würde die Priorität auf der jetzigen Spare-UTM auf hoch gestellt und von da aus auch die Konfiguration synchronisiert werden, würde die erste Maschine automatisch zum Spare degradiert und die vormals Spare-UTM zum Master.}} |g}}
+|-
+| class="Leerzeile" colspan="3"| {{a|3}}
+====== {{#var:externe-schnittstelle--ha}} ======
+|- class="Leerzeile"
+| colspan="3" | <i class="host utm">Master</i> {{Menu| {{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} }} {{ic|eth0|bc=&#EDEDED;}} {{button| |w}}
 |-
-| class="Leerzeile" colspan="3"| '''{{#var:externe-schnittstelle--ha| Externe Schnittstelle auf HA-Betrieb konfigurieren }}'''<br><i class="host utm">Master</i> {{Menu| {{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} }} {{ic|eth0|bc=&#EDEDED;}} {{button| |w}}
+| {{b|{{#var:Name}} }} || eth0 || {{#var:externe-schnittstelle--ha--router}} ||  rowspan="4" class="bild" | {{bild|  {{#var:externe-schnittstelle--ha--bild}} |hochkant=1.5|l={{#var:Abb}} 1.26}}
 |-
-| {{b|{{#var:Name}} }} || eth0 || {{#var:externe-schnittstelle--ha--router| Externe Schnittstelle zum Router }} ||  rowspan="3" class="bild" | {{bild|  {{#var:externe-schnittstelle--ha--bild| UTM_v11.8.7_Cluster_Konfig-exr_eth0.png }} |hochkant=1.5|l={{#var:Abb}} 1.26}}
+| {{b| {{#var:Verwendung:}} }} || {{button|{{#var:verwendung--schnittstelle--ha--val}}|dr}} || {{#var:verwendung--schnittstelle--ha--desc}}
 |-
-| {{b| {{#var:Verwendung:}} }} || {{button|{{#var:verwendung--schnittstelle--ha--val| Schnittstelle für High Availability benutzen }}|dr}} || {{#var:verwendung--schnittstelle--ha--desc| Hochverfügbarkeit konfigurieren }}
+| {{b| {{#var:virutelle-ip|Virtuelle IP-Adressen:}} }} || {{ic| {{cb|192.168.175.101/24}} | pd=5px 5px 2em 5px }} || {{#var:virtuelle-ip--router}}
 |-
-| {{b| {{#var:virutelle-ip|Virtuelle IP-Adressen:}} }} || {{ic| {{cb|192.168.175.101/24}} | pd=5px 5px 2em 5px }} || {{#var:virtuelle-ip--router| Virtuelle IP-Adresse aus dem Netz des Routers }}
+| class="Leerzeile" colspan="3" | {{a|3}}
+====== {{#var:konfig-sync}} ======
+|- class="Leerzeile"
+| colspan="3" | {{button|{{#var:Speichern}} }} {{button|{{#var:konfig-sync}} }}
+|- class="Leerzeile"
+| {{mobil|<hr>}}
+====== '''{{#var:cluster-aktivieren}}''' ======
 |-
-| class="Leerzeile" colspan="3" | {{button|{{#var:Speichern}} }} {{button|{{#var:konfig-sync|Konfiguration synchronisieren}} }} <br><br>{{mobil|<hr>}}<br>'''{{#var:cluster-aktivieren}}'''<br><i class="host utm">Master</i> & <i class="host utm">Spare</i> {{Menu|{{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} | {{#var:Einstelungen}} }}
+| colspan="3" | <i class="host utm">Master</i> & <i class="host utm">Spare</i> {{Menu|{{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} | {{#var:Einstelungen}} }}
 |-
-| {{b|{{#var:Cluster}} }} || {{ButtonAn|{{#var:ein}} }} → {{button| {{#var:Speichern}} }}|| {{#var:cluster-aktivieren--ein--desc|Dieser Schritt muss auf '''beiden UTMs''' ausgeführt werden. }} ||  class="bild" rowspan="3" | {{bild|{{#var:cluster--extern--konfig--ergebnis--bild| UTM_v11.8.7_Cluster_Konfig-exr_Ergebnis.png }} |hochkant=1.5|l={{#var:Abb}} 1.14}}
+| {{b|{{#var:Cluster}} }} || {{ButtonAn|{{#var:ein}} }} → {{button| {{#var:Speichern}} }}|| {{#var:cluster-aktivieren--ein--desc}} ||  class="bild" rowspan="4" | {{bild|{{#var:cluster--extern--konfig--ergebnis--bild}} |hochkant=1.5|l={{#var:Abb}} 1.14}}
 |-
-| rowspan="2" | {{b| {{#var:Clusterstatus}} }} || {{#var:cluster--master|Auf der Master-UTM:}} <span style="color:{{Farbe|#3EAB30;}}">⬤</span> || {{#var:cluster--master--desc|Der Cluster ist nun in Betrieb und der Master des Clusters hat unsere virtuelle IP-Adresse 192.168.200.1 auf dem internen Interface.}}
+| rowspan="2" | {{b| {{#var:Clusterstatus}} }} || {{#var:cluster--master|Auf der Master-UTM:}} <i class="fas fa-check-circle fc__up"></i> || {{#var:cluster--master--desc}}
 |-
-| class="no1cell" | {{#var:cluster--spare|Auf der Spare-UTM:}} <span style="color:{{Farbe|#E9C321;}}">⬤</span> || {{#var:cluster--spare--desc|Die Spare-UTM läuft als Hot-Standby im Backup-Modus im Hintergrund}}
+| class="no1cell" | {{#var:cluster--spare|Auf der Spare-UTM:}} <i class="fas fa-clock fc__hint"></i> || {{#var:cluster--spare--desc}}
+|- class="Leerzeile"
+|
 |}
@@ Zeile 422: / Zeile 497: @@
-=== NAT in der Cluster-Konfiguration ===
+=== {{#var:NAT in der Cluster-Konfiguration}} ===
-<p>In beschrieben Konstellationen mit externen HA-Schnittstellen ist es sinnvoll die NAT Einstellungen anzupassen.{{info|Die Ausfallzeit des Clusters wird reduziert, da keine neue IP-Adressen für die Kommunikation vergeben werden müssen.}} <br>
+<div class="Einrücken">
-Wir beziehen uns hier auf das Beispiel „Cluster Konfiguration: Externer Router“.</p>
+{{#var:NAT in der Cluster-Konfiguration--desc}}
-<p>Die externe virtuelle IP-Adresse des Clusters ist in der selben Broadcast Domain wie die externen IP-Adressen der Schnittsellen.<br>
-Die Standardroute der UTMs zeigt auf den Router der die Internet Verbindung herstellt.</p>
+{{pt3|UTM_v11.8.7_Cluster_tcpdump.png|hochkant=2|{{#var:tcpdump--bild--cap| tcpdump auf master.cluster.local }} }}
 {| class="sptable"
 |-
-| {{#var:externe-ip| Externe IP UTM }} 1 <i class="host utm">Master</i> || 192.168.175.102/24
+| {{#var:externe-ip}} 1 <i class="host utm">Master</i> || 192.168.175.102/24
 |-
-| {{#var:externe-ip|Externe IP UTM}} 2 <i class="host utm">Spare</i>  || 192.168.175.103/24
+| {{#var:externe-ip}} 2 <i class="host utm">Spare</i>  || 192.168.175.103/24
 |-
-| {{#var:virtuelle-ip--cluster| Virtuelle IP Cluster }} {{spc|cb|s|Cluster}}||192.168.175.101/24
+| {{#var:virtuelle-ip--cluster}} {{spc|cb|s|Cluster}}||192.168.175.101/24
 |-
-| {{#var:ip--router| IP des Routers }} || 192.168.175.1/24
+| {{#var:ip--router}} || 192.168.175.1/24
 |}
-{{pt3|UTM_v11.8.7_Cluster_tcpdump.png|hochkant=2|{{#var:tcpdump--bild--cap| tcpdump auf master.cluster.local }} }}
 <p>{{#var:tcpdump--desc| Die UTM 1 ist der Master und besitzt die virtuelle IP-Adresse.<br>
 Setzt man nun einen ping aus dem internen Netz auf die IP-Adresse des Routers ab, sieht man nebenstehendes im tcpdump der UTM1 auf dem externen Interface.</p>
@@ Zeile 447: / Zeile 520: @@
 Das kommt zustande, weil die eindeutige IP-Adresse die erste IP auf der Schnittstelle ist und der Router sich in der gleichen Broadcast Domain befindet. Wechselt der Cluster auf das Backup System, wird dort nicht mehr die IP-Adresse der externen Schnittstelle der <i class="host utm">Master</i>-UTM 192.168.175.102 stehen, sondern die IP-Adresse der externen Schnittstelle der <i class="host utm">Spare</i>-UTM 192.168.175.103. </p>  }}
 <br clear=all>
-{{pt3|{{#var:cluster--netzwerkobjekt--bild| UTM_v11.8.7_Cluster_Netzwerkobjekt-HA.png }}|hochkant=1}}
+{{pt3|{{#var:cluster--netzwerkobjekt--bild}}|hochkant=1}}
-<p>{{#var:cluster--netzwerkobjekt--desc| Um das zu ändern wird im Menü <i class="host utm">Master</i> {{Menu|Firewall|Portfilter}} im Reiter {{Reiter|Netzwerkobjekte}} ein neues Objekt mit der virtuellen IP-Adresse auf dem Cluster Interface erstellt.  }}
+<p>{{#var:cluster--netzwerkobjekt--desc}}</p>
 <br clear=all>
-{{Gallery3|{{#var:cluster--regel--bild| UTM_v11.8.7_Cluster_Regel.png }}| {{#var:cluster--regel--cap| Anschließend wird im Reiter {{Reiter| Portfilter}} die entsprechende HideNAT-Regel bearbeitet. In Beispiel die Regel Nummer 7. }} | {{#var:cluster--regel--detail--bild| UTM_v11.8.7_Cluster_Regel2.png }} | {{#var:cluster--regel--detail--bild--desc| Das Objekt {{button|external-interface|dr}} wird durch das gerade erstellte Objekt {{button|HA-Externe-IP|dr}} ersetzt. }}
+{{Gallery3|{{#var:cluster--regel--bild}}| {{#var:cluster--regel--cap}} | {{#var:cluster--regel--detail--bild}} | {{#var:cluster--regel--detail--bild--desc}}
 | i=2}}
 <br>
-{{Button|{{#var:Speichern}} }} {{Button | {{#var:Schließen}} }} {{Button|{{#var:regel-aktualisieren| Regel aktualisieren }}|play}} <i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} | | {{#var:Konfiguration synchronisieren}} }}
+{{Button|{{#var:Speichern}} }} {{Button | {{#var:Schließen}} }} {{Button|{{#var:regel-aktualisieren}}|play}} <i class="host utm">Master</i> {{Menu|{{#var:Netzwerk}} | {{#var:Clusterkonfiguration}} || {{#var:konfig-sync}} }}
-{{pt3|{{#var:cluster--tcpdump2--bild| UTM_v11.8.7_Cluster_tcpdump2.png}}|hochkant=2 | {{#var:cluster--tcpdump2--cap| tcpdump }} }}
+{{pt3|{{#var:cluster--tcpdump2--bild}}|hochkant=2 | {{#var:cluster--tcpdump2--cap}} }}
-{{#var:cluster--tcpdump2--desc| Wird der Ping-Test jetzt wiederholt, wird die Cluster-IP 192.168.175.101 verwendet. }}<br>
+{{#var:cluster--tcpdump2--desc}}<br>
-{{Hinweis| ! § {{#var:hinweis--tcpdump--ping| Wenn der Ping auf den Router ohne Unterbrechung lief, ist dieser noch im Conntrack gespeichert, der Ping wird also noch über die falsche IP-Adresse geNATet.<br>Der Ping muss unterbrochen werden. Nach frühestens 30 Sekunden. kann der Ping dann neu gestartet werden. }} |g}}
+<li class="list--element__alert list--element__hint">{{#var:hinweis--tcpdump--ping}}</li>
 <br clear=all>
-{{Hinweis| !! {{#var:hinweis--nat-einstellungen| Für NAT Einstellungen müssen immer eindeutige IP-Adressen in den Netzwerkobjekten benutzt werden, wenn das NAT über ein HA-Interface konfiguriert wird. Das gilt nicht nur für HideNATs sondern auch Portweiterleitungen bzw. Destination NATs. }} }}
+{{Hinweis-neu| !! {{#var:hinweis--nat-einstellungen}} }}
+</div>
 ----
-=== {{#var:applikationen| Applikationen in der Cluster-Konfiguration }} ===
+=== {{#var:applikationen}} ===
-{{pt3|{{#var:applikationen--bild| UTM_v11.8.7_Cluster_Mailrelay_Allgemein.png }} }}
+{{pt3|{{#var:applikationen--bild}} }}
-<p>{{#var:applikationen--allgemein| Anwendungen verwenden IP-Adressen, um sich bei anderen Servern zu identifizieren.<br>
+<div class="Einrücken">
-Es ist bei einigen Anwendungen möglich, dafür die Cluster-IP festzulegen. }}</p>
+<p>{{#var:applikationen--allgemein}}</p>
-<p>{{#var:applikationen--beispiel| Beispielhaft wird das hier für das Mailrelay gezeigt. }}</p>
+<p>{{#var:applikationen--beispiel}}</p>
-<p>{{#var:applikationen--mailrelay| Es sollen E-Mails über das Mailrelay der UTMs verschickt und empfangen werden.<br>
+<p>{{#var:applikationen--mailrelay}}</p>
-Dazu wurden entsprechende PTR, A, MX Records und SPF Einträge in den TXT Records der Domain gemacht, die auf die externe virtuelle IP-Adresse des Clusters zeigen. {{Hinweis|!|r}} Diese IP-Adressen müssen natürlich vom Router, der den Internetzugang in das eigene Netz weiterleitet, geroutet werden.<br>
- Damit das Mailrelay nun auch E-Mails über diese virtuelle IP verschickt, muss in der Applikation die ausgehende IP-Adresse korrekt eingestellt werden. In unserem Fall die virtuelle IP 192.168.175.101 }}</p>
 <p>{{Button|{{#var:Speichern}} }}<br>
-{{#var:applikationen--sync| Anschließend muss die Cluster Konfiguration erneut synchronisiert werden. }}<br>
+{{#var:applikationen--sync}}<br>
-  {{Menu|{{#var:Netzwerkkonfiguration}} | {{#var:Clusterkonfiguration}} }} {{Button|{{#var:Konfiguration synchronisieren}} }}</p>
+  {{Menu|{{#var:Netzwerkkonfiguration}} | {{#var:Clusterkonfiguration}} |{{#var:Konfiguration synchronisieren}} }}</p>
-<p>{{Hinweis|!! § {{#var:appliaktionen--hinweis| Das Mailrelay kommuniziert jetzt '''immer '''mit der virtuellen IP-Adresse 192.168.175.101. Auch der interne Mailserver wird mit dieser IP als Absender kontaktiert. Das muss bei der Konfiguration des Mailservers berücksichtigt werden, sollte dieser nur SMTP-Verbindungen von bestimmten IPs akzeptieren.}}|r }}</p>
+<li class="list--element__alert list--element__warning em2">{{#var:appliaktionen--hinweis}}</li>
+</div>
 ----
-==== {{#var:appliaktionen--kommunikation| Kommunikation von Applikationen, die auf der Firewall laufen }} ====
+==== {{#var:appliaktionen--kommunikation}} ====
 <div class="einrücken">
-{{#var:appliaktionen--kommunikation--desc| Alle Applikationen, die von der Firewall selber eine Verbindung aufbauen, verwenden dafür (sofern nicht anders konfiguriert) die primären IPs der Schnittstellen. Sollten Management-IPs aus der gleichen Broadcast-Domäne verwendet werden, sind diese primären IPs '''nicht '''die virtuellen IP-Adressen. }}
+{{#var:appliaktionen--kommunikation--desc}}
-===== {{#var:syslog| Syslog }} =====
-{{#var:syslog--desc| Syslog-Nachrichten  werden von der Management-IP der Master verschickt, wenn diese die aktive Maschine im Cluster ist, und von der Management-IP der Spare wenn diese aktiviert wurde. }}
-===== {{#var:http-proxy| HTTP-Proxy }} =====
-{{#var:http-proxy--desc| Sollte ein Parent-Proxy in Benutzung sein, der Verbindungen nur von einer bestimmten IP annimmt, muss diese im Menü {{Menu|Anwendungen| HTTP-Proxy | Allgemein}} → {{b|Ausgehende IP-Adresse}} angegeben werden. }}
+===== {{#var:syslog}} =====
+<div class="Einrücken">{{#var:syslog--desc}}</div>
-===== {{#var:mailrelay| Mailrelay }} =====
+===== {{#var:http-proxy}} =====
-{{#var:http-proxy--desc}}
+<div class="Einrücken">{{#var:http-proxy--desc}}</div>
-===== {{#var:radius| RADIUS-/LDAP-/AD-Anbindung }} =====
+===== {{#var:mailrelay}} =====
-{{#var:radius--desc| Sollte der Server nur Verbindungen von bestimmten IPs zulassen, müssen auf dem '''Ziel-Server''' jeweils die '''Management-IPs beider '''Geräte freigegeben werden. }}
+<div class="Einrücken">{{#var:http-proxy--desc}}</div>
+===== {{#var:radius}} =====
+<div class="Einrücken">{{#var:radius--desc}}</div>
 ===== IPSec =====
-{{#var:ipsec--desc| Alle IPSec-Verbindungen müssen in Phase 1 so angepasst werden, dass im Feld „Local Gateway“ eine der virtuellen IPs fest eingetragen ist.<br>
+<div class="Einrücken">{{#var:ipsec--desc}}</div>
-{{Menu|VPN|IPSec}} → {{Button| Phase 1|w}} →  {{Reiter|Allgemein}} {{b| Local Gateway}} {{Button|192.168.175.101|dr}} }}
-===== {{#var:ssl-vpn--server| SSL-VPN Server }} =====
+===== {{#var:ssl-vpn--server}} =====
-{{#var:ssl-vpn--server--desc| In allen SSL-VPN-Server-Instanzen muss die Option Multihome aktiviert werden:<br>
+<div class="Einrücken">{{#var:ssl-vpn--server--desc}}</div>
-{{ Menu| VPN | SSL-VPN}} Schaltfläche {{Button | |w}} Reiter {{Reiter | Erweitert}} }} {{b|Multihome}} {{ButtonAn|{{#var:ein}} }}
 </div>
-==== {{#var:appliaktionen--extern| Kommunikation mit Applikationen, die auf anderen Geräten laufen }} ====
+==== {{#var:appliaktionen--extern}} ====
 <div class="einrücken">
-===== {{#var:ssl-vpn--clients| SSL-VPN Clients }} =====
+===== {{#var:ssl-vpn--clients}} =====
-{{#var:ssl-vpn--clients--desc| Alle SSLVPN-Client-Instanzen müssen so angepasst werden, dass Sie eine der virtuellen IPs zum Verbindungsaufbau verwenden. Dazu sind folgende CLI-Befehle erforderlich: }}
+<div class="Einrücken">{{#var:ssl-vpn--clients--desc}}</div>
-{| class="sptable pd5"
+{| class="sptable pd5 Einrücken"
-! {{#var:CLI-Befehle| CLI Befehle }} || {{#var:bedeutung| Bedeutung }}
+! {{#var:CLI-Befehle}} || {{#var:bedeutung}}
 |-
-|  {{code |master.cluster.local> openvpn get}} || {{#var:cli--openvpn-get| Ermittelt die ID der SSLVPN-Verbindung }}
+|  {{code |master.cluster.local> openvpn get}} || {{#var:cli--openvpn-get}}
 |-
-| {{code|<nowiki>master.cluster.local> openvpn set id <ID> local_addr <VIRTUELLE-IP> local_port <FREIER-PORT></nowiki>}} ||  {{#var:cli--openvpn-set| Setzt die lokale Adresse }}
+| {{code|<nowiki>master.cluster.local> openvpn set id <ID> local_addr <VIRTUELLE-IP> local_port <FREIER-PORT></nowiki>}} ||  {{#var:cli--openvpn-set}}
 |-
-| {{code | master.cluster.local> appmgmt restart application openvpn}} || {{#var:cli--openvpn-restart| Aktiviert die Einstellungen }}
+| {{code | master.cluster.local> appmgmt restart application openvpn}} || {{#var:cli--openvpn-restart}}
 |-
-| class="Leerzeile" | <br>'''{{#var:Beispiel| Beispiel }}'''
+| class="Leerzeile" | <br>'''{{#var:Beispiel}}'''
 |-
 | {{code| master.cluster.local> openvpn get<br>[...]<br>master.cluster.local> openvpn set id <1> local_addr <192.168.175.101> local_port <20000><br>master.cluster.local> appmgmt restart application openvpn}} || {{#var:Beispiel}}
@@ Zeile 536: / Zeile 603: @@
-===== {{#var:pop3| POP3 Proxy }} =====
+===== {{#var:pop3}} =====
-{{#var:pop3--desc| Der POP3-Proxy kommuniziert '''immer mit der Management-IP''', sofern diese in der gleichen Broadcast-Domain wie das Default-Gateway ist. Dies ist bei der Beschränkung des Zugriffs auf POP3-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten. }}
+<div class="Einrücken">{{#var:pop3--desc}}</div>
-===== {{#var:clientless-vpn| Clientless VPN }} =====
-{{#var:clientless-vpn--desc| Verbindungen zu RDP/VNC-Servern werden immer mit den Management-IPs aufgebaut. Dies ist bei der Beschränkung des Zugriffs auf RDP/VNC-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten. }}
+===== {{#var:clientless-vpn}} =====
+<div class="Einrücken">{{#var:clientless-vpn--desc}}</div>
-===== {{#var:Nameserver|  }} =====
+===== {{#var:Nameserver}} =====
-{{#var:Nameserver--desc| Verbindungen zu DNS-Servern werden immer mit den Management-IPs aufgebaut. Dies ist bei der Beschränkung des Zugriffs auf DNS-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten. }}
+<div class="Einrücken">{{#var:Nameserver--desc}}</div>
 </div>
 ----
 === {{#var:CLI-Befehle}} ===
-{{#var:cli-befehle--desc| Im folgenden werden Befehle für die Securepoint CLI beschrieben. }}
+<div class="Einrücken">{{#var:cli-befehle--desc}}</div>
-{| class="sptable pd5"
+{| class="sptable2 pd5 Einrücken"
+|-
+! style="min-width: 180px;" | {{#var:cli-befehl}} !! style="min-width: 225px;" | {{#var:Ausgabe}} !! {{#var:desc|B}}
+|-
+| rowspan="3" | {{code|cli>&ensp;'''cluster info'''|boldcode}} || {{code|{{td|cluster_state| &#8739;master<br>&ensp;''backup<br>&ensp;none''|w=110px}} }} || {{#var:cli--cluster-info--desc}}
+|-
+| style="width: 240px;" | {{code|{{td|sync_state | &#8739;synchronized<br>&ensp;''pending<br>&ensp;error''|w=110px}} }} || {{#var:cli--sync-state}}
+|-
+| {{code|{{td|hotwire_dev | &#8739;eth''x''|w=110px}} }} || {{#var:cli--hotwire}}
 |-
-! style="min-width: 180px;" | {{#var:cli-befehl| CLI Befehl }} !! style="min-width: 225px;" | {{#var:Ausgabe|  }} !! {{#var:desc|B}}
+| {{code|cli&gt;&ensp;'''system config save name &lt;Name der Konfiguration&gt;'''|boldcode inline-block}} || || {{#var:cli--config-save}}
 |-
-| rowspan="3" | {{code|cli>&ensp;'''cluster info'''|boldcode}} || {{code|{{td|cluster_state| &#8739;master<br>&ensp;''backup<br>&ensp;none''|w=110px}} }} || {{#var:cli--cluster-info--desc| Der Cluster State gibt an wer im Cluster gerade Master oder Backup ist oder ob der Cluster überhaupt aktiv ist. Die Ausgabe bezieht sich immer auf die Maschine, auf der dieser Befehl ausführt wird. }}
+|{{code|cli&gt;&ensp;'''system config synchronize'''|boldcode inline-block}} ||  || {{#var:cli--config-sync}}
 |-
-| style="width: 240px;" | {{code|{{td|sync_state | &#8739;synchronized<br>&ensp;''pending<br>&ensp;error''|w=110px}} }} || {{#var:cli--sync-state| Gibt an, in welchem Zustand sich die Konfiguration befindet. Dabei bedeutet „synchronized“, das sie auf beiden UTMS des Clusters gleich ist. Der Zustand „pending“ bedeutet, die UTMs haben einen unterschiedlichen Stand. In beiden Fällen können die Mitglieder miteinander kommunizieren. Der Zustand „error“ weist darauf hin das sie keine Daten austauschen können. Das könnte der Fall sein, wenn kein Hotwire Interface konfiguriert ist, die Verkabelung nicht korrekt ist, die SSH Keys nicht ausgetauscht wurden, oder falsche SSH Keys verwendet werden. }}
+| {{code|cli&gt;&ensp;'''extc value get application "securepoint_firewall" variable "UPDATE_TRIGGER_DELAY"'''|boldcode inline-block}} || {{code| Value &#8739;2}} || {{#var:cli--value-get}}
 |-
-| {{code|{{td|hotwire_dev | &#8739;eth''x''|w=110px}} }} || {{#var:cli--hotwire| Gibt das Interface an, auf dem das Hotwire Interface konfiguriert ist. }}
+|{{code|cli&gt;&ensp;'''extc value set application "securepoint_firewall" variable "UPDATE_TRIGGER_DELAY" value 2'''|boldcode inline-block}} || {{code|OK}} || {{#var:cli--value-set}}
+|- class="Leerzeile"
+|
+==== {{#var:Wartungsmodus}} ====
 |-
-| {{code|cli&gt;&ensp;'''system config save name &lt;Name der Konfiguration&gt;'''|boldcode}} || || {{#var:cli--config-save| Falls in der CLI eine Konfigurationsänderung durchgeführt wurde, muss diese erst lokal gespeichert werdn. Erst dann wird eine Synchronisierung des Clusters übertragen. }}
+| class=mw23 | {{code|cli&gt; '''cluster maintainance''' set value "'''1'''" <br>cli&gt; system update interface|boldcode inline-block}} || {{code|OK}} || {{#var:CLI-Wartungsmodus aktivieren--desc}}
 |-
-|{{code|cli>&ensp;'''system config synchronize'''|boldcode}} ||  || {{#var:cli--config-sync| Durch diesen Befehl kann die Konfiguration über die Hotwire Schnittstelle an den Cluster Partner übertragen werden. {{Hinweis|!|gelb}}Dabei wird die Konfiguration von der UTM verwendet, auf der der Befehl ausgeführt wird. }}
+| {{code|cli&gt; '''cluster maintainance''' set value "'''0'''" <br>cli&gt; system update interface|boldcode inline-block}}
+| {{code|OK}} || {{#var:CLI-Wartungsmodus deaktivieren--desc}}
 |-
-| {{code|cli>&ensp;'''extc value get application "securepoint_firewall" variable "UPDATE_TRIGGER_DELAY"'''|boldcode}} || {{code| Value &#8739;2}} || {{#var:cli--value-get| Zeigt den Delay in Sekunden an, bevor im Fehlerfall, von Master auf Backup geschaltet wird. Der Standardwert ist 2 Sekunden. }}
+| <i class="host utm">Master</i><br> {{code|cli&gt; '''cluster info'''|boldcode inline-block}} ||<pre>attribute    |value
+-------------+-----
+cluster_state|backup
+sync_state   |synchronized
+hotwire_dev  |eth2
+maintainance |true </pre>
+| {{#var:Zustand Wartungsmodus Master--desc}}
 |-
-|{{code|cli>&ensp;'''extc value set application "securepoint_firewall" variable "UPDATE_TRIGGER_DELAY" value 2'''|boldcode}} || {{code|OK}} || {{#var:cli--value-set| Verändert den Delay, für den Fehlerfall, das von Master auf Backup geschaltet wird. Der Standardwert ist 2 Sekunden und sollte nicht niedriger eingestellt werden. Falls die Appliances im Cluster eine hohe Grundlast haben sollten, kann der Wert höher eingestellt werden. {{Hinweis|!|gelb}} Die Einstellung ist sofort aktiv und kann via ''system config synchronize'' auf den Partner übertragen werden. }}
+| <i class="host utm">Spare</i><br>{{code|cli&gt; '''cluster info'''|boldcode inline-block}}
+| <pre>attribute    |value
+-------------+-----
+cluster_state|master
+sync_state   |synchronized
+hotwire_dev  |eth2
+maintainance |false</pre>
+| {{#var:Zustand Wartungsmodus Spare--desc}}
 |}
 ----
-=== {{#var:Einschränkungen|  }} ===
+=== {{#var:Einschränkungen}} ===
-==== {{#var:Einschränkungen--dhcp--ha| DHCP-Client mit HA-Schnittstelle kombinieren }} ====
 <div class="einrücken">
-{{#var:Einschränkungen--dhcp--ha--desc| Konfigurieren sie kein HA Interface auf einem Ethernet oder VLAN Interface auf dem sie DHCP Client konfiguriert haben, also die UTM auf dem Interface eine IP-Adresse dynamisch zugewiesen bekommt. Sollte der DHCP Server nicht erreichbar sein nachdem sie die UTM gestartet haben und ist sie in dem Augenblick auch der Master im Cluster, wird die virtuelle IP-Adresse vom Interface entfernt sobald der DHCP Server wieder erreichbar ist und die UTM eine neue IP-Adresse vom DHCP Server empfängt. }}
+==== {{#var:Einschränkungen--dhcp--ha}} ====
-</div>
+<li class="list--element__alert list--element__warning">{{#var:Einschränkungen--dhcp--ha--desc}}</li>
-==== {{#var:Einschränkungen--dhcp--cluster| DHCP-Server in einer Clusterumgebung }} ====
+==== {{#var:Einschränkungen--dhcp--cluster}} ====
-<div class="einrücken">
+<li class="list--element__alert list--element__warning">{{#var:Einschränkungen--dhcp--cluster--desc}} </li>
-{{Hinweis | ! § {{#var:Einschränkungen--dhcp--cluster--desc| Bei Verwendung der UTM als DHCP-Server dürfen diese IP-Adressen nicht in der gleichen [http://de.wikipedia.org/wiki/Broadcast_Domain Broadcast Domain] der anderen IP-Adressen liegen.<br>
-Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren. Siehe: [[#Schritt2 | Cluster Konfiguration Schritt 2]] }} |r}}
 </div>
 ----

Version vom 20. Juli 2022, 11:12 Uhr

Einsatzgebiete

Einrichtung

Voraussetzungen

Funktionsweise des Clusters

Das Cluster VRR Protokoll

Umschalten des Clusters

Fallback im Cluster

Hotwire Schnittstelle

Konfiguration abgleichen

Konfiguration von Austauschgeräten

Beispiel-Konfiguration 1: Externes DSL-Modem

Netzwerkkonfiguration

Inbetriebnahme der UTMs

Hotwire Schnittstelle

Cluster-Konfiguration

Master-UTM

IP-Adressen der zukünftigen Hotwire-Schnittstellen

Cluster Assistent Schritt 1

Cluster Assistent Schritt 2

Cluster Assistent Schritt 3

Cluster Assistent Schritt 4

Cluster Assistent Schritt 5

Status der Clusterkonfiguration

Einstellungen für die Clusterkonfiguration

Spare-UTM

Konfiguration der Spare-Schnittstelle

Einstellungen für die Clusterkonfiguration

Cluster aktivieren

Beispiel Konfiguration 2: Externer Router

Netzwerkkonfiguration

Inbetriebnahme der UTMs

Hotwire Schnittstelle

Cluster-Konfiguration

Master UTM

IP-Adressen der zukünftigen Hotwire-Schnittstellen

Cluster Assistent Schritt 1

Cluster Assistent Schritt 2

Cluster Assistent Schritt 3

Cluster Assistent Schritt 4

Cluster Assistent Schritt 5

Status der Clusterkonfiguration

Einstellungen für die Clusterkonfiguration

Spare UTM

Konfiguration der Spare-Schnittstelle

Einstellungen für die Clusterkonfiguration

Externe Schnittstelle auf HA-Betrieb konfigurieren

Konfiguration synchronisieren

Cluster aktivieren

NAT in der Cluster-Konfiguration

Applikationen in der Cluster-Konfiguration

Kommunikation von Applikationen, die auf der Firewall laufen

RADIUS-/LDAP-/AD-Anbindung

IPSec

Kommunikation mit Applikationen, die auf anderen Geräten laufen

Einschränkungen

DHCP-Client nicht mit HA-Schnittstelle kombinieren

DHCP-Server in einer Clusterumgebung