Wechseln zu:Navigation, Suche
Wiki

UTM/NET/Cluster: Unterschied zwischen den Versionen

Aus Securepoint Wiki
K (bestimmten)
K (bestimmten)
Zeile 29: Zeile 29:


=== Einsatzgebiete ===
=== Einsatzgebiete ===
Die UTM wird, durch die Umwandlung in einen Hot-Standy UTM-Cluster, aufgewertet und sichert geschäftskritische Prozesse gegen den Ausfall einer UTM ab. Securepoint stellt dazu einen Aktiv-/Passiv-Cluster zur Verfügung. Die UTMs innerhalb des Clusters überwachen sich gegenseitig und schalten bei Bedarf automatisch auf das Gerät mit dem besten Status um. Ein Eingriff des Administrators ist nicht notwendig.  
Die UTM wird, durch die Umwandlung in einen Hot-Standy UTM-Cluster, aufgewertet und sichert geschäftskritische Prozesse gegen den Ausfall einer UTM ab. Securepoint stellt dazu einen Aktiv-/Passiv-Cluster zur Verfügung. Die UTMs innerhalb des Clusters überwachen sich gegenseitig und schalten bei Bedarf automatisch auf das Gerät mit dem besten Status um. Ein Eingriff des Administrators nicht notwendig.  
{{Bild| Cluster-01.jpg |l=Abb.: 1.1}}
{{Bild|Cluster-01.jpg|Abb.: 1.1}}


----
----


==== Einrichtung ====
==== Einrichtung ====
Bei der Einrichtung des UTM-Clusters werden zwei UTMs mit identischer Firmware über eine Hotwire-Schnittstelle verbunden. Die Installation mit dem „Cluster Setup Wizard“ wird auf der ''Ursprungs-UTM'' ausgeführt, die im dann erstellten Cluster der MASTER sein wird. Mit dieser UTM wird die Synchronisierung der Konfiguration durchgeführt. Auf der ''Spare-UTM'', die im Cluster das BACKUP sein wird, werden bei der Installation die Hotwire-Schnittstelle definiert sowie ein SSH-Schlüssel erzeugt. Auch wird auf der Spare der SSH-Schlüssel des MASTER eingetragen.  
Bei der Einrichtung des UTM-Clusters werden zwei UTMs mit identischer Firmware über eine Hotwire-Schnittstelle verbunden. Die Installation mit dem „Cluster Setup Wizard“ wird auf der ''Ursprungs-UTM'' ausgeführt, die im dann erstellen Cluster der MASTER sein wird. Mit dieser UTM wird die Synchronisierung der Konfiguration durchgeführt. Auf der ''Spare-UTM'', die im Cluster das BACKUP sein wird, werden bei der Installation die Hotwire-Schnittstelle definiert sowie ein SSH-Schlüssel erzeugt. Auch wird auf der Spare der SSH-Schlüssel des MASTER eingetragen.  


Die aktive UTM im Cluster, hat die höhere Priorität und wird als MASTER bezeichnet.
Die aktive UTM im Cluster, hat die höhere Priorität und wird als MASTER bezeichnet.
Zeile 65: Zeile 65:


{{pt3|UTM11_BP_Cluster_pic6.png| | {{ h4| Das Cluster VRR Protokoll | Das Cluster VRR Protokoll }} }}
{{pt3|UTM11_BP_Cluster_pic6.png| | {{ h4| Das Cluster VRR Protokoll | Das Cluster VRR Protokoll }} }}
<p>VRRP (Virtual Router Redundancy Protocol) ist das Kommunikationsprotokoll des Clusters. Es ist einzig auf den Schnittstellen aktiv, die als {{hoover|HA-|High-Availibility}}Schnittstelle konfiguriert sind. Über dieses Protokoll versendet der Master des UTM-Clusters Datenpakete an das Backup. Empfängt das Backup keine Datenpakete, so stuft es sich zum Master hoch.</p>
<p>VRRP (Virtual Router Redundancy Protocol) ist das Kommunikationsprotokoll des Clusters. Es ist einzig auf den Schnittstellen aktiv, die als {{hover|HA-|High-Availibility}}Schnittstelle konfiguriert sind. Über dieses Protokoll versendet der Master des UTM-Clusters Datenpakete an das Backup. Empfängt das Backup keine Datenpakete, so stuft es sich zum Master hoch.</p>


<p>Mit Hilfe von '''tcpdump''' können sie das Protokoll auf einer HA-Schnittstelle sichtbar machen (siehe Abb.)</p>
<p>Mit Hilfe von '''tcpdump''' können sie das Protokoll auf einer HA-Schnittstelle sichtbar machen (siehe Abb.)</p>
Zeile 74: Zeile 74:


==== Umschalten des Clusters ====
==== Umschalten des Clusters ====
Folgende Ereignisse bzw. Zustände lösen ein Umschalten des Clusters aus:
Das Umschalten innerhalb des Clusters kann unter folgenden Bedingungen passieren:


* Das aktive Mitglied eines Clusters wird neu gestartet oder ganz heruntergefahren.
* Das aktive Mitglied eines Clusters wird neu gestartet oder ganz heruntergefahren.
* Eine oder mehrere HA-Schnittstellen haben keinen physikalischen Link mehr.
* Ein oder mehrere HA-Schnittstellen haben keinen physikalischen Link mehr.
* Der Link einer HA-Schnittstelle ist aktiv, aber aufgrund eines defekten oder falsch konfigurierten Switches kommen die VRRP Pakete nicht beim Cluster Partner an.
* Der Link einer HA-Schnittstelle ist aktiv, aber aufgrund eines defekten oder falsch konfigurierten Switches kommen die VRRP Pakete nicht beim Cluster Partner an.
* Die Cluster-Funktion wird auf dem aktiven Cluster-Partner durch den Administrator deaktiviert.
* Die Cluster Funktion wird auf dem aktiven Cluster-Partner durch den Administrator deaktiviert.
<br />
<br />


Zeile 131: Zeile 131:
==== Netzwerkkonfiguration:====
==== Netzwerkkonfiguration:====


'''Erstes Mitglied des Clusters (UTM 1, Master)'''<br />
'''Erstes Mitglied des Clusters (UTM 1, {{spc|vpn|s|Master}})'''<br />
''eth0:'' Externe DSL Verbindung mittels PPPoE.<br>
''eth0:'' Externe DSL Verbindung mittels PPPoE.<br>
''eth1:'' Interne IP-Adresse: 192.168.100.2/24<br>
''eth1:'' Interne IP-Adresse: 192.168.100.2/24<br>
''eth2:'' Hotwire-IP-Adresse:192.168.180.2/24
''eth2:'' Hotwire-IP-Adresse:192.168.180.2/24


'''Zweites Mitglied des Clusters (UTM 2, Spare)'''<br />
'''Zweites Mitglied des Clusters (UTM 2, {{spc|vpn|s|Spare}})'''<br />
''eth0:'' Externe DSL Verbindung mittels PPPoE.<br>
''eth0:'' Externe DSL Verbindung mittels PPPoE.<br>
''eth1:'' Interne IP-Adresse:192.168.100.3/24<br>
''eth1:'' Interne IP-Adresse:192.168.100.3/24<br>
''eth2:'' Hotwire-IP-Adresse:192.168.180.3/24
''eth2:'' Hotwire-IP-Adresse:192.168.180.3/24


<p>Als virtuelle IP-Adresse wird 192.168.200.1/24 definiert. <br />
Als virtuelle IP-Adresse wird 192.168.200.1/24 definiert. <br />
Diese IP-Adresse ist das Standard-Gateway des internen Netzwerks.</p>
Diese IP-Adresse ist das Standard-Gateway des internen Netzwerks.<br>
<p>{{Hinweis|! Bei Verwendung des DHCP-Servers, darf die Virtuelle IP-Adresse <u>nicht im gleichen Netz</u> wie die physische IP Adresse der Schnittstelle sein.}}</p>
{{Hinweis|! Bei Verwendung des DHCP-Servers, darf die Virtuelle IP-Adresse <u>nicht im gleichen Netz</u> wie die physische IP Adresse der Schnittstelle sein.}} Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren.
Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren.
----
----


Zeile 163: Zeile 162:
! colspan="3" | {{h5| Master-UTM |Master-UTM}}
! colspan="3" | {{h5| Master-UTM |Master-UTM}}
|-
|-
| class="Leerzeile" colspan="3" | '''IP-Adresse der zukünftigen Hotwire-Schnittstelle'''<br>{{Menu|Netzwerk | Netzwerkkonfiguration}} {{ic|eth2}} → {{Button||w}} {{Reiter|IP-Adressen}}  
| class="Leerzeile" colspan="3" | '''IP-Adresse der zukünftigen Hotwire-Schnittstelle'''<br>{{spc|vpn|s|Master}} {{Menu|Netzwerk | Netzwerkkonfiguration}} {{ic|eth2}} → {{Button||w}} {{Reiter|IP-Adressen}}  
|-
|-
| {{b|IP-Adressen:}} || style="min-width: 165px" |{{ic|{{cb|192.168.180.2/24}} |pd=5px 5px 2em 5px|lh=2em}} || In der Clickbox wird die IP-Adresse der zukünftigen Hotwire-Schnittstelle hinzugefügt. <br>Im Beispiel bekommt LAN3/eth2 die IP-Adresse 192.168.180.2/24. || rowspan="1" class="bild" | {{bild|UTM v11.8.7 Cluster Schnittstelle1.png|hochkant=1.5|l=Abb.1.4}}
| {{b|IP-Adressen:}} || style="min-width: 165px" |{{ic|{{cb|192.168.180.2/24}} |pd=5px 5px 2em 5px|lh=2em}} || In der Clickbox wird die IP-Adresse der zukünftigen Hotwire-Schnittstelle hinzugefügt. <br>Im Beispiel bekommt LAN3/eth2 die IP-Adresse 192.168.180.2/24. || rowspan="1" class="bild" | {{bild|UTM v11.8.7 Cluster Schnittstelle1.png|hochkant=1.5|l=Abb.}}
|-
|-
| class="hrzeile"|  {{hrzeile}}<br> Start des Cluster-Setup-Wizard unter {{Menu|Netzwerk|Clusterkonfiguration}} {{button|Cluster Assistent|+}}<br>'''Cluster Assistent Schritt 1'''
| class="hrzeile"|  {{hrzeile}}<br> Start des Cluster-Setup-Wizard unter {{spc|vpn|s|Master}} {{Menu|Netzwerk|Clusterkonfiguration}} {{button|Cluster Assistent|+}}<br>'''Cluster Assistent Schritt 1'''
|-
|-
| {{b| Hotwire Schnittstelle}} || {{Button|eth2: 192.168.180.2/24|dr}} || {{Hinweis|!|r}} Auf beiden Geräten muss die gleiche Schnitstelle gewählt werden! || rowspan="3" class="bild" | {{bild| UTM_v11.8.7_Cluster-Assistent_Schritt1.png | hochkant=1.5 | l=Abb.: 1.5}}
| {{b| Hotwire Schnittstelle}} || {{Button|eth2: 192.168.180.2/24|dr}} || {{Hinweis|!|r}} Auf beiden Geräten muss die gleiche Schnitstelle gewählt werden! || rowspan="3" class="bild" | {{bild| UTM_v11.8.7_Cluster-Assistent_Schritt1.png | hochkant=1.5 | l=Abb.: 1.5}}
Zeile 175: Zeile 174:
| {{b| Remote IP&#8209;Adresse:}} ||  {{ic | 192.168.180.3 }} || IP-Adresse der Hotwire-Gegenstelle (Spare-UTM)
| {{b| Remote IP&#8209;Adresse:}} ||  {{ic | 192.168.180.3 }} || IP-Adresse der Hotwire-Gegenstelle (Spare-UTM)
|-
|-
| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}'''Cluster Assistent Schritt 2'''
| class="Leerzeile" colspan="3" id="Schritt2" | {{mobil|<hr>|<br>}}'''Cluster Assistent Schritt 2'''
|-
|-
| {{ b| Schnittstelle: }} || {{Button|eth1|dr}} || Das zukünftige HA-Interface. Im Beispiel die interne Schnittstelle. || rowspan="3" class="bild" | {{bild|UTM_v11.8.7_Cluster-Assistent_Schritt2.png|hochkant=1.5 | l=Abb.: 1.6}}
| {{ b| Schnittstelle: }} || {{Button|eth1|dr}} || Das zukünftige HA-Interface. Im Beispiel die interne Schnittstelle. || rowspan="3" class="bild" | {{bild|UTM_v11.8.7_Cluster-Assistent_Schritt2.png|hochkant=1.5 | l=Abb.: 1.6}}
Zeile 181: Zeile 180:
| {{b| Virtuelle IP&#8209;Adresse: }} || {{ic|192.168.200.1/24}} || Die virtuelle IP-Adresse soll 192.168.200.1 sein. Es können auf einer HA-Schnittstelle auch mehrere virtuelle IP-Adressen liegen.
| {{b| Virtuelle IP&#8209;Adresse: }} || {{ic|192.168.200.1/24}} || Die virtuelle IP-Adresse soll 192.168.200.1 sein. Es können auf einer HA-Schnittstelle auch mehrere virtuelle IP-Adressen liegen.
|-
|-
|colspan="3" | {{Hinweis | !|r}} Bei Verwendung der UTM als DHCP-Server dürfen diese IP-Adressen müssen nicht in der gleichen [http://de.wikipedia.org/wiki/Broadcast_Domain Broadcast Domain ] der anderen IP-Adressen liegen.{{hoover|{{spc|io|o|-}}|Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren.}} <br>{{Hinweis|!|g}} Nachdem der Wizard durchlaufen wurde, können auch weitere HA-Schnittstellen konfiguriert werden.
|colspan="3" | {{Hinweis | !|r}} Bei Verwendung der UTM als DHCP-Server dürfen diese IP-Adressen nicht in der gleichen [http://de.wikipedia.org/wiki/Broadcast_Domain Broadcast Domain ] der anderen IP-Adressen liegen.{{hover|{{spc|io|o|-}}|Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren.}} <br>{{Hinweis|!|g}} Nachdem der Wizard durchlaufen wurde, können auch weitere HA-Schnittstellen konfiguriert werden.
|-
|-
| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}'''Cluster Assistent Schritt 3''' || class="noborder" |
| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}'''Cluster Assistent Schritt 3''' || class="noborder" |
|-
|-
| colspan="2" | {{b|Deaktivierte Schnittstellen während das Gerät im Backup Modus ist:}} <span style="float:inline-end;">{{ic| {{cb|wan0|-}}|pd=5px 5px 2em 5px|lh=2em }}</span>|| Schnittstellen, die auf dem Backup-System, der Spare-UTM, '''nicht''' hochgefahren werden. <br>Im Beispiel ''wan0'' (das DSL Interface). Die Einwahl soll nur durch die gerade aktive Master-UTM im Cluster erfolgen. {{hoover|{{spc|io|o|-}}|Dadurch ist es möglich, beide externen Interfaces der UTMs an das DSL Modem anzuschließen. Falls das Modem nur einen LAN Port besitzt, ist ein separater Switch zu verwenden.}} || rowspan="1" class="bild" | {{bild| UTM_v11.8.7_Cluster-Assistent_Schritt3.png|hochkant=1.5 | l=Abb.: 1.7}}
| colspan="2" | {{b|Deaktivierte Schnittstellen während das Gerät im Backup Modus ist:}} <span style="float:inline-end;">{{ic| {{cb|wan0|-}}|pd=5px 5px 2em 5px|lh=2em }}</span>|| Schnittstellen, die auf dem Backup-System, der Spare-UTM, '''nicht''' hochgefahren werden. <br>Im Beispiel ''wan0'' (das DSL Interface). Die Einwahl soll nur durch die gerade aktive Master-UTM im Cluster erfolgen. {{hover|{{spc|io|o|-}}|Dadurch ist es möglich, beide externen Interfaces der UTMs an das DSL Modem anzuschließen. Falls das Modem nur einen LAN Port besitzt, ist ein separater Switch zu verwenden.}} || rowspan="1" class="bild" | {{bild| UTM_v11.8.7_Cluster-Assistent_Schritt3.png|hochkant=1.5 | l=Abb.: 1.7}}
|-
|-
| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}'''Cluster Assistent Schritt 4'''
| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}'''Cluster Assistent Schritt 4'''
Zeile 199: Zeile 198:
| class="hrzeile" colspan="3" | Cluster Assistent abschließen mit {{Button| Fertig }}
| class="hrzeile" colspan="3" | Cluster Assistent abschließen mit {{Button| Fertig }}
|-
|-
| class="hrzeile"|  {{hrzeile}}<br>{{Menu|Netzwerk | Clusterkonfiguration}} {{Reiter|Schnittstellen}}
| class="hrzeile"|  {{hrzeile}}<br>{{spc|vpn|s|Master}} {{Menu|Netzwerk | Clusterkonfiguration}} {{Reiter|Schnittstellen}}
|-
|-
| {{ic|eth1|bc=#EAE0E0;| c=#444444;}} || Schnittstelle benutzt für '''High Availability''' || Virtuelle IP 192.168.200.1/24<br>IP-Adresse: 192.168.100.2/24 || rowspan="5" class="bild" | {{bild|UTM_v11.8.7_Cluster_Konfig.png|hochkant=1.5|l=Abb.: 1.10}}
| {{ic|eth1|bc=#EAE0E0;| c=#444444;}} || Schnittstelle benutzt für '''High Availability''' || Virtuelle IP 192.168.200.1/24<br>IP-Adresse: 192.168.100.2/24 || rowspan="5" class="bild" | {{bild|UTM_v11.8.7_Cluster_Konfig.png|hochkant=1.5|l=Abb.: 1.10}}
Zeile 211: Zeile 210:
| {{b|Synchronisationsstatus:}} || <span style="color:{{Farbe|#DD463E;}}">⬤</span> || Der Synchronisationsstatus steht auf rot, weil die Gegenstelle nicht erreichbar ist.
| {{b|Synchronisationsstatus:}} || <span style="color:{{Farbe|#DD463E;}}">⬤</span> || Der Synchronisationsstatus steht auf rot, weil die Gegenstelle nicht erreichbar ist.
|-
|-
| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}<br>{{Menu|Netzwerk | Clusterkonfiguration}} {{Reiter|Einstelungen}}
| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}<br>{{spc|vpn|s|Master}} {{Menu|Netzwerk | Clusterkonfiguration}} {{Reiter|Einstelungen}}
|-
|-
| rowspan="2" | {{b|Lokaler SSH&#8209;Schlüssel:}} || {{Button | Neuen lokalen SSH-Schlüssel generieren}} || Im Reiter {{ Reiter | Einstellungen}} wird ein SSH Public Key erzeugt. || rowspan="2" class="bild" | {{bild| UTM_v11.8.7_Netzwerk_Cluster-Config_Einstellungen.png | hochkant=1.5 | l=Abb.: 1.11}}
| rowspan="2" | {{b|Lokaler SSH&#8209;Schlüssel:}} || {{Button | Neuen lokalen SSH-Schlüssel generieren}} || Im Reiter {{ Reiter | Einstellungen}} wird ein SSH Public Key erzeugt. || rowspan="2" class="bild" | {{bild| UTM_v11.8.7_Netzwerk_Cluster-Config_Einstellungen.png | hochkant=1.5 | l=Abb.: 1.11}}
Zeile 221: Zeile 220:
! colspan="3"| {{h5|Spare-UTM | Spare UTM}} </td><td class="noborder" style="border-top: 0;">
! colspan="3"| {{h5|Spare-UTM | Spare UTM}} </td><td class="noborder" style="border-top: 0;">
|-
|-
| colspan="3" class="Leerzeile" | <br>Login über die IP-Adresse 192.168.180.3 auf das Web-Interface der Spare-UTM.<br>{{Menu| Netzwerk| Clusterkonfiguration}} {{Reiter|Schnittstellen}}  
| colspan="3" class="Leerzeile" | <br>Login über die IP-Adresse 192.168.180.3 auf das Web-Interface der Spare-UTM.<br>{{spc|vpn|s|Spare}} {{Menu| Netzwerk| Clusterkonfiguration}} {{Reiter|Schnittstellen}}  
|-
|-
| {{b|Name:}} || eth2 || {{ic|eth2}} {{b| |w}} Schnittstelle bearbeiten || rowspan="4" class="bild" | {{bild|UTM_v11.8.7_Netzwerk_Cluster-Config_UTM2_eth2.png|hochkant=1.5 |l=Abb.: 1.12}}
| {{b|Name:}} || eth2 || {{ic|eth2}} {{b| |w}} Schnittstelle bearbeiten || rowspan="4" class="bild" | {{bild|UTM_v11.8.7_Netzwerk_Cluster-Config_UTM2_eth2.png|hochkant=1.5 |l=Abb.: 1.12}}
Zeile 231: Zeile 230:
| {{b| Remote IP-Adresse: }} || {{ic|192.168.180.2}} || IP-Adresse der bereits konfigurierten Master-UTM, die als Hotwire angesprochen werden soll.
| {{b| Remote IP-Adresse: }} || {{ic|192.168.180.2}} || IP-Adresse der bereits konfigurierten Master-UTM, die als Hotwire angesprochen werden soll.
|-
|-
| class="Leerzeile noborder" colspan="4"| {{mobil|<hr>|<br>}}{{Menu | Netzwerk |Clusterkonfiguration}} {{Reiter| Einstellungen}}
| class="Leerzeile noborder" colspan="4"| {{mobil|<hr>|<br>}}{{spc|vpn|s|Spare}} {{Menu | Netzwerk |Clusterkonfiguration}} {{Reiter| Einstellungen}}
|-
|-
| rowspan="2" | {{b|Lokaler SSH&#8209;Schlüssel:}} || {{Button | Neuen lokalen SSH-Schlüssel generieren}} || SSH Public Key für die ''Spare-UTM'' erzeugen || rowspan="4" class="bild" | {{bild| UTM_v11.8.7_Netzwerk_Cluster-Config_Einstellungen-Spare.png | hochkant=1.5 | l=Abb.: 1.13}}
| rowspan="2" | {{b|Lokaler SSH&#8209;Schlüssel:}} || {{Button | Neuen lokalen SSH-Schlüssel generieren}} || SSH Public Key für die ''Spare-UTM'' erzeugen || rowspan="4" class="bild" | {{bild| UTM_v11.8.7_Netzwerk_Cluster-Config_Einstellungen-Spare.png | hochkant=1.5 | l=Abb.: 1.13}}
Zeile 239: Zeile 238:
| {{b| SSH&#8209;Schlüssel der Gegenstelle: }} || {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] zE0SU=</nowiki><br>''<nowiki>root@master.cluster.local</nowiki>''}} || Public-SSH-Key der ''Master-UTM'' aus der Zwischenablage einfügen
| {{b| SSH&#8209;Schlüssel der Gegenstelle: }} || {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] zE0SU=</nowiki><br>''<nowiki>root@master.cluster.local</nowiki>''}} || Public-SSH-Key der ''Master-UTM'' aus der Zwischenablage einfügen
|-  
|-  
| {{b|Lokaler SSH&#8209;Schlüssel:}} || colspan="2" | '''Jetzt''' den lokalen Public-SSh-Key der Spare-UTM in die Zwischenablage einfügen.<br>Wechsel auf die ''Master-UTM'' und dort einfügen unter {{b| SSH&#8209;Schlüssel der Gegenstelle: }} (Auf der ''Master-UTM'' ist entspicht die ''Spare-UMT'' der Gegenstelle)
| {{b|Lokaler SSH&#8209;Schlüssel:}} || colspan="2" | '''Jetzt''' den lokalen Public-SSh-Key der Spare-UTM in die Zwischenablage einfügen.
|-
| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}Wechsel auf {{spc|vpn|s|Master}} {{Menu | Netzwerk |Clusterkonfiguration}} {{Reiter| Einstellungen}}
|-
| {{b| SSH&#8209;Schlüssel der Gegenstelle: }} || {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] Q1/k=</nowiki><br>''<nowiki>root@spare.cluster.local</nowiki>''}} || colspan="2" | Public-Key der Spare-UTM aus der Zwischenablage einfügen. {{info|Auf der ''Master-UTM'' ist entspicht die ''Spare-UMT'' der Gegenstelle}}
|-
|-
| colspan="3" class="Leerzeile" | {{mobil|<hr>}}Auf beiden Seiten sollte sich nun ein lokaler SSH Schlüssel und jeweils der SSH Schlüssel der Gegenstelle gefinden. Speichern der Einstellungen auf beiden UTMs in diesem Dialog durch Betätigung der {{Button|Speichern}} Schaltfläche.  
| colspan="3" class="Leerzeile" | {{mobil|<hr>}}Auf beiden Seiten sollte sich nun ein lokaler SSH Schlüssel und jeweils der SSH Schlüssel der Gegenstelle gefinden. Speichern der Einstellungen auf beiden UTMs in diesem Dialog durch Betätigung der {{Button|Speichern}} Schaltfläche.  
|-
|-
| {{b|Synchronisationsstatus}} ||<span style="color:{{Farbe|#E9C321;}}">⬤</span> ||colspan="2" |  Der Synchronisationsstatus sollte nun von rot zu orange wechseln. Das bedeutet, die beiden UTMs sehen sich über die Hotwire-Schnittstelle, jedoch ist die Konfiguration noch nicht synchronisiert. <br>{{Hinweis|!|g}} Der Status wird bestimmten Intervallen aktualisiert. In dem Reiter {{Reiter |Schnittstellen}} kann die Aktualisierung mit der Synchronisieren-Schaltfläche {{button||refresh}} manuell ausgelöst werden.
| {{b|Synchronisationsstatus}} ||<span style="color:{{Farbe|#E9C321;}}">⬤</span> ||colspan="2" |  Der Synchronisationsstatus sollte nun von rot zu orange wechseln. Das bedeutet, die beiden UTMs sehen sich über die Hotwire-Schnittstelle, jedoch ist die Konfiguration noch nicht synchronisiert. <br>{{Hinweis|!|g}} Der Status wird {{f|in bestimmten Intervallen§nämlich welchen?}} aktualisiert. In dem Reiter {{Reiter |Schnittstellen}} kann die Aktualisierung mit der Synchronisieren-Schaltfläche {{button||refresh}} manuell ausgelöst werden.
|-
|-
| class="Leerzeile" colspan="3"| {{button|Konfiguration synchronisieren}}
| class="Leerzeile" colspan="3"|{{spc|vpn|s|Master}} {{button|Konfiguration synchronisieren}}
|-
|-
| {{b|Synchronisationsstatus}} || <span style="color:{{Farbe|#3EAB30;}}">⬤</span>||colspan="2" |  Wenn die Synchronisation erfolgreich abgeschlossen wurde, steht jetzt der Synchronisationsstatus auf grün. Die beiden UTMs sind abgeglichen.<br>Dieser Vorgang kann überprüft werden, indem auf der Spare-UTM eine Konfiguration aufgerufen wird, die im Master verändert wurde.<br>
| {{b|Synchronisationsstatus}} || <span style="color:{{Farbe|#3EAB30;}}">⬤</span>||colspan="2" |  Wenn die Synchronisation erfolgreich abgeschlossen wurde, steht jetzt der Synchronisationsstatus auf grün. Die beiden UTMs sind abgeglichen.<br>Dieser Vorgang kann überprüft werden, indem auf der Spare-UTM eine Konfiguration aufgerufen wird, die im Master verändert wurde.<br>
Die Cluster-Priorität der Spare-UTM (Backup), Einstellung unter  {{Menu| Netzwerk | Clusterkonfiguration |Einstellungen}}, wurde automatisch auf {{b|Priorität}} {{Button| Niedrig |dr}} gestellt.<br>
Die Cluster {{b|Priorität}} {{Menu|Netzwerk|Clusterkonfiguration}} {{Reiter|einstellungen}} der Spare-UTM (Backup) wurde automatisch auf niedrig gestellt.<br>
{{Hinweis|!|g}} Würde die Priorität auf der jetzigen Spare-UTM auf hoch gestellt und von da aus auch die Konfiguration synchronisiert werden, würde die erste Maschine automatisch zum Spare degradiert und die vormals Spare-UTM zum Master.
{{Hinweis|!|g}} Würde die Priorität auf der jetzigen Spare-UTM auf hoch gestellt und von da aus auch die Konfiguration synchronisiert werden, würde die erste Maschine automatisch zum Spare degradiert und die vormals Spare-UTM zum Master.
|-
|-
| class="Leerzeile" colspan="3" | {{mobil|<hr>}}<br>'''Cluster aktivieren'''<br>{{Menu|Netzwerk | Clusterkonfiguration}} {{Reiter|Einstelungen}}
| class="Leerzeile" colspan="3" | {{mobil|<hr>}}<br>'''Cluster aktivieren'''<br>{{spc|vpn|s|Master}} & {{spc|vpn|s|Spare}} {{Menu|Netzwerk | Clusterkonfiguration}} {{Reiter|Einstelungen}}
|-
|-
| colspan="3" | Externe Interfaces an das DSL-Modem anschließen || class="bild" rowspan="4" | {{bild|UTM11_BP_Cluster_pic20.png|hochkant=1.5|l=Abb.: 1.14}}
| colspan="3" | Externe Interfaces an das DSL-Modem anschließen || class="bild" rowspan="4" | {{bild|UTM_v11.8.7_Cluster_Konfig_Ergebnis.png|hochkant=1.5|Abb.: 1.14}}
|-
|-
| {{b|Cluster:}} || {{ButtonAn|Ein}} ||  
| {{b|Cluster:}} || {{ButtonAn|Ein}} ||  
Zeile 260: Zeile 263:
| rowspan="2" | {{b| Clusterstatus }} || Auf der Master-UTM: <span style="color:{{Farbe|#3EAB30;}}">⬤</span> || Der Cluster ist nun in Betrieb und der Master des Clusters hat unsere virtuelle IP-Adresse 192.168.200.1 auf dem internen Interface.
| rowspan="2" | {{b| Clusterstatus }} || Auf der Master-UTM: <span style="color:{{Farbe|#3EAB30;}}">⬤</span> || Der Cluster ist nun in Betrieb und der Master des Clusters hat unsere virtuelle IP-Adresse 192.168.200.1 auf dem internen Interface.
|-
|-
| Auf der Spare-UTM: <span style="color:{{Farbe|#E9C321;}}">⬤</span> || Die Spare-UTM läuft als Hot-Standby im Backup-Modus im Hintergrund
| class="no1cell" | Auf der Spare-UTM: <span style="color:{{Farbe|#E9C321;}}">⬤</span> || Die Spare-UTM läuft als Hot-Standby im Backup-Modus im Hintergrund
|}
|}


Zeile 274: Zeile 277:
==== Netzwerkkonfiguration: ====
==== Netzwerkkonfiguration: ====


'''Erstes Mitglied des Clusters (UTM 1, Master)'''<br />
'''Erstes Mitglied des Clusters (UTM 1, {{spc|vpn|s|Master}})'''<br />
''eth0:'' Externe IP Adresse (zom Router) 192.168.175.102/24<br>
''eth0:'' Externe IP Adresse (zum Router) 192.168.175.102/24<br>
''eth1:'' Interne IP-Adresse: 192.168.100.2/24<br>
''eth1:'' Interne IP-Adresse: 192.168.100.2/24<br>
''eth2:'' Hotwire-IP-Adresse:192.168.180.2/24
''eth2:'' Hotwire-IP-Adresse:192.168.180.2/24


'''Zweites Mitglied des Clusters (UTM 2, Spare)'''<br />
'''Zweites Mitglied des Clusters (UTM 2, {{spc|vpn|s|Spare}})'''<br />
''eth0:'' Externe IP Adresse (zom Router) 192.168.175.103/24<br>
''eth0:'' Externe IP Adresse (zum Router) 192.168.175.103/24<br>
''eth1:'' Interne IP-Adresse:192.168.100.3/24<br>
''eth1:'' Interne IP-Adresse:192.168.100.3/24<br>
''eth2:'' Hotwire-IP-Adresse:192.168.180.3/24
''eth2:'' Hotwire-IP-Adresse:192.168.180.3/24


Die virtuellen IP-Adressen, die sich beide Mitglieder des Clusters teilen werden, sind die IP-Adressen 192.168.200.1/24 für die internen Schnittstellen und 192.168.175.103/24 für die extern Schnittstellen (zum Router).<br>
Die virtuellen IP-Adressen, die sich beide Mitglieder des Clusters teilen werden, sind die IP-Adressen 192.168.200.1/24 für die internen Schnittstellen und 192.168.175.101/24 für die extern Schnittstellen (zum Router).<br>
Die virtuelle IP-Adresse 192.168.200.1 ist das Standard-Gateway des internen Netzwerks.
Die virtuelle IP-Adresse 192.168.200.1 ist das Standard-Gateway des internen Netzwerks.


Zeile 303: Zeile 306:
! colspan="3" | {{h5| Master-UTM |Master-UTM}}
! colspan="3" | {{h5| Master-UTM |Master-UTM}}
|-
|-
| class="Leerzeile" colspan="3" | '''IP-Adresse der zukünftigen Hotwire-Schnittstelle'''<br>{{Menu|Netzwerk | Netzwerkkonfiguration}} {{ic|eth2}} → {{Button||w}} {{Reiter|IP-Adressen}}  
| class="Leerzeile" colspan="3" | '''IP-Adresse der zukünftigen Hotwire-Schnittstelle'''<br>{{spc|vpn|s|Master}} {{Menu|Netzwerk | Netzwerkkonfiguration}} {{ic|eth2}} → {{Button||w}} {{Reiter|IP-Adressen}}  
|-
|-
| {{b|IP-Adressen:}} || style="min-width: 165px" |{{ic|{{cb|192.168.180.2/24}} |pd=5px 5px 2em 5px|lh=2em}} || In der Clickbox wird die IP-Adresse der zukünftigen Hotwire-Schnittstelle hinzugefügt. <br>Im Beispiel bekommt LAN3/eth2 die IP-Adresse 192.168.180.2/24. || rowspan="1" class="bild" | {{bild|UTM v11.8.7 Cluster Schnittstelle1.png|hochkant=1.5|l=Abb.}}
| {{b|IP-Adressen:}} || style="min-width: 165px" |{{ic|{{cb|192.168.180.2/24}} |pd=5px 5px 2em 5px|lh=1.5em}} || In der Clickbox wird die IP-Adresse der zukünftigen Hotwire-Schnittstelle hinzugefügt. <br>Im Beispiel bekommt LAN3/eth2 die IP-Adresse 192.168.180.2/24. || rowspan="1" class="bild" | {{bild|UTM v11.8.7 Cluster Schnittstelle1.png|hochkant=1.5|l=Abb.}}
|-
|-
| class="hrzeile"|  {{hrzeile}}<br> Start des Cluster-Setup-Wizard unter {{Menu|Netzwerk|Clusterkonfiguration}} {{button|Cluster Assistent|+}}<br>'''Cluster Assistent Schritt 1'''
| class="hrzeile"|  {{hrzeile}}<br> Start des Cluster-Setup-Wizard unter {{spc|vpn|s|Master}} {{Menu|Netzwerk|Clusterkonfiguration}} {{button|Cluster Assistent|+}}<br>'''Cluster Assistent Schritt 1'''
|-
|-
| {{b| Hotwire Schnittstelle}} || {{Button|eth2: 192.168.180.2/24|dr}} || {{Hinweis|!|r}} Auf beiden Geräten muss die gleiche Schnitstelle gewählt werden! || rowspan="3" class="bild" | {{bild| UTM_v11.8.7_Cluster-Assistent_Schritt1.png | hochkant=1.5 | l=Abb.: 1.5}}
| {{b| Hotwire Schnittstelle}} || {{Button|eth2: 192.168.180.2/24|dr}} || {{Hinweis|!|r}} Auf beiden Geräten muss die gleiche Schnitstelle gewählt werden! || rowspan="3" class="bild" | {{bild| UTM_v11.8.7_Cluster-Assistent_Schritt1.png | hochkant=1.5 | l=Abb.: 1.5}}
Zeile 321: Zeile 324:
| {{b| Virtuelle IP&#8209;Adresse: }} || {{ic|192.168.200.1/24}} || Die virtuelle IP-Adresse soll 192.168.200.1 sein. Es können auf einer HA-Schnittstelle auch mehrere virtuelle IP-Adressen liegen.
| {{b| Virtuelle IP&#8209;Adresse: }} || {{ic|192.168.200.1/24}} || Die virtuelle IP-Adresse soll 192.168.200.1 sein. Es können auf einer HA-Schnittstelle auch mehrere virtuelle IP-Adressen liegen.
|-
|-
|colspan="3" | {{Hinweis | !|r}} Bei Verwendung der UTM als DHCP-Server dürfen diese IP-Adressen müssen nicht in der gleichen [http://de.wikipedia.org/wiki/Broadcast_Domain Broadcast Domain ] der anderen IP-Adressen liegen.{{hoover|{{spc|io|o|-}}|Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren.}} <br>{{Hinweis|!|g}} Nachdem der Wizard durchlaufen wurde, können auch weitere HA-Schnittstellen konfiguriert werden.
|colspan="3" | {{Hinweis | !|r}} Bei Verwendung der UTM als DHCP-Server dürfen diese IP-Adressen müssen nicht in der gleichen [http://de.wikipedia.org/wiki/Broadcast_Domain Broadcast Domain ] der anderen IP-Adressen liegen.{{hover|{{spc|io|o|-}}|Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren.}} <br>{{Hinweis|!|g}} Nachdem der Wizard durchlaufen wurde, können auch weitere HA-Schnittstellen konfiguriert werden.
|-
|-
| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}'''Cluster Assistent Schritt 3''' || class="noborder" |
| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}'''Cluster Assistent Schritt 3''' || class="noborder" |
|-
|-
| colspan="2" | {{b|Deaktivierte Schnittstellen während das Gerät im Backup Modus ist:}} <span style="float:inline-end;">{{ic| {{cb|wan0|-}}|pd=5px 5px 2em 5px|lh=2em }}</span>|| Schnittstellen, die auf dem Backup-System, der Spare-UTM, '''nicht''' hochgefahren werden. <!--********-->In dieser Konfiguration ist das '''nicht erforderlich''' || rowspan="1" class="bild" | {{bild| UTM_v11.8.7_Cluster-Assistent_Schritt3b.png|hochkant=1.5 | l=Abb.: 1.7}}
| colspan="2" | {{b|Deaktivierte Schnittstellen während das Gerät im Backup Modus ist:}} || Schnittstellen, die auf dem Backup-System, der Spare-UTM, '''nicht''' hochgefahren werden. <!--********-->In dieser Konfiguration ist das '''nicht erforderlich''' || rowspan="1" class="bild" | {{bild| UTM_v11.8.7_Cluster-Assistent_Schritt3b.png|hochkant=1.5 | l=Abb.: 1.7}}
|-
|-
| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}'''Cluster Assistent Schritt 4'''
| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}'''Cluster Assistent Schritt 4'''
Zeile 337: Zeile 340:
| {{b|Passphrase: }} || {{ic|insecure}} || Die Passphrase für die Kommunikation der beiden UTMs auf den HA-Schnittstellen (VRR Protokoll)
| {{b|Passphrase: }} || {{ic|insecure}} || Die Passphrase für die Kommunikation der beiden UTMs auf den HA-Schnittstellen (VRR Protokoll)
|-
|-
| class="hrzeile" colspan="3" | Cluster Assistent abschließen mit {{Button| Fertig }}
| class="hrzeile no1cell" colspan="3" | Cluster Assistent abschließen mit {{Button| Fertig }}
|-
| class="hrzeile"|  {{hrzeile}}<br>{{spc|vpn|s|Master}} {{Menu|Netzwerk | Clusterkonfiguration}} {{Reiter|Schnittstellen}}
|-
|-
| class="hrzeile"| {{hrzeile}}<br>{{Menu|Netzwerk | Clusterkonfiguration}} {{Reiter|Schnittstellen}}
|{{ic|eth0|bc=#EDEDED;| c=#444444;}} ||<small>(Schnittstelle ist noch nicht für HA konfiguriert)</small> || ''IP-Adresse'' 192.168.175.102/24 || rowspan="5" class="bild" | {{bild|UTM_v11.8.7_Cluster_Konfig-exr.png|hochkant=1.5|l=Abb.: 1.10}}
|-
|-
| {{ic|eth1|bc=#EAE0E0;| c=#444444;}} || Schnittstelle benutzt für '''High Availability''' || Virtuelle IP 192.168.200.1/24<br>IP-Adresse: 192.168.100.2/24 || rowspan="5" class="bild" | {{bild|UTM_v11.8.7_Cluster_Konfig-exr.png|hochkant=1.5|l=Abb.: 1.10}}
| {{ic|eth1|bc=#EAE0E0;| c=#444444;}} || Schnittstelle benutzt für '''High Availability''' || ''Virtuelle&nbsp;IP-Adresse: ''192.168.200.1/24<br>''IP-Adresse:'' 192.168.100.2/24  
|-
|-
| {{ic|eth2|bc=#EAE0E0;| c=#444444;}} || Schnittstelle wird benutzt als '''Hotwire''' || IP-Adresse 192.168.180.2/24
| {{ic|eth2|bc=#EAE0E0;| c=#444444;}} || Schnittstelle wird benutzt als '''Hotwire''' || IP-Adresse 192.168.180.2/24
Zeile 351: Zeile 356:
| {{b|Synchronisationsstatus:}} || <span style="color:{{Farbe|#DD463E;}}">⬤</span> || Der Synchronisationsstatus steht auf rot, weil die Gegenstelle nicht erreichbar ist.
| {{b|Synchronisationsstatus:}} || <span style="color:{{Farbe|#DD463E;}}">⬤</span> || Der Synchronisationsstatus steht auf rot, weil die Gegenstelle nicht erreichbar ist.
|-
|-
| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}<br>{{Menu|Netzwerk | Clusterkonfiguration}} {{Reiter|Einstelungen}}
| class="Leerzeile" colspan="3"| {{mobil|<hr>|<br>}}<br>{{spc|vpn|s|Master}} {{Menu|Netzwerk | Clusterkonfiguration}} {{Reiter|Einstelungen}}
|-
|-
| rowspan="2" | {{b|Lokaler SSH&#8209;Schlüssel:}} || {{Button | Neuen lokalen SSH-Schlüssel generieren}} || Im Reiter {{ Reiter | Einstellungen}} wird ein SSH Public Key erzeugt. || rowspan="2" class="bild" | {{bild| UTM_v11.8.7_Netzwerk_Cluster-Config_Einstellungen.png | hochkant=1.5 | l=Abb.: 1.11}}
| rowspan="2" | {{b|Lokaler SSH&#8209;Schlüssel:}} || {{Button | Neuen lokalen SSH-Schlüssel generieren}} || Im Reiter {{ Reiter | Einstellungen}} wird ein SSH Public Key erzeugt. || rowspan="2" class="bild" | {{bild| UTM_v11.8.7_Netzwerk_Cluster-Config_Einstellungen.png | hochkant=1.5 | l=Abb.: 1.11}}
Zeile 361: Zeile 366:
! colspan="3"| {{h5|Spare-UTM | Spare UTM}} </td><td class="noborder" style="border-top: 0;">
! colspan="3"| {{h5|Spare-UTM | Spare UTM}} </td><td class="noborder" style="border-top: 0;">
|-
|-
| colspan="3" class="Leerzeile" | <br>Login über die IP-Adresse 192.168.180.3 auf das Web-Interface der Spare-UTM.<br>{{Menu| Netzwerk| Clusterkonfiguration}} {{Reiter|Schnittstellen}}  
| colspan="3" class="Leerzeile" | <br>Login über die IP-Adresse 192.168.180.3 auf das Web-Interface der Spare-UTM.<br>{{spc|vpn|s|Spare}} {{Menu| Netzwerk| Clusterkonfiguration}} {{Reiter|Schnittstellen}}  
|-
|-
| {{b|Name:}} || eth2 || {{ic|eth2}} {{b| |w}} Schnittstelle bearbeiten || rowspan="4" class="bild" | {{bild|UTM_v11.8.7_Netzwerk_Cluster-Config_UTM2_eth2.png|hochkant=1.5 |l=Abb.: 1.12}}
| {{b|Name:}} || eth2 || {{ic|eth2}} {{b| |w}} Schnittstelle bearbeiten || rowspan="4" class="bild" | {{bild|UTM_v11.8.7_Netzwerk_Cluster-Config_UTM2_eth2.png|hochkant=1.5 |l=Abb.: 1.12}}
Zeile 371: Zeile 376:
| {{b| Remote IP-Adresse: }} || {{ic|192.168.180.2}} || IP-Adresse der bereits konfigurierten Master-UTM, die als Hotwire angesprochen werden soll.
| {{b| Remote IP-Adresse: }} || {{ic|192.168.180.2}} || IP-Adresse der bereits konfigurierten Master-UTM, die als Hotwire angesprochen werden soll.
|-
|-
| class="Leerzeile noborder" colspan="4"| {{mobil|<hr>|<br>}}{{Menu | Netzwerk |Clusterkonfiguration}} {{Reiter| Einstellungen}}
| class="Leerzeile noborder" colspan="4"| {{mobil|<hr>|<br>}}{{spc|vpn|s|Spare}} {{Menu | Netzwerk |Clusterkonfiguration}} {{Reiter| Einstellungen}}
|-
|-
| rowspan="2" | {{b|Lokaler SSH&#8209;Schlüssel:}} || {{Button | Neuen lokalen SSH-Schlüssel generieren}} || SSH Public Key für die ''Spare-UTM'' erzeugen || rowspan="4" class="bild" | {{bild| UTM_v11.8.7_Netzwerk_Cluster-Config_Einstellungen-Spare.png | hochkant=1.5 | l=Abb.: 1.13}}
| rowspan="2" | {{b|Lokaler SSH&#8209;Schlüssel:}} || {{Button | Neuen lokalen SSH-Schlüssel generieren}} || SSH Public Key für die ''Spare-UTM'' erzeugen || rowspan="4" class="bild" | {{bild| UTM_v11.8.7_Netzwerk_Cluster-Config_Einstellungen-Spare.png | hochkant=1.5 | l=Abb.: 1.13}}
Zeile 379: Zeile 384:
| {{b| SSH&#8209;Schlüssel der Gegenstelle: }} || {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] zE0SU=</nowiki><br>''<nowiki>root@master.cluster.local</nowiki>''}} || Public-SSH-Key der ''Master-UTM'' aus der Zwischenablage einfügen
| {{b| SSH&#8209;Schlüssel der Gegenstelle: }} || {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] zE0SU=</nowiki><br>''<nowiki>root@master.cluster.local</nowiki>''}} || Public-SSH-Key der ''Master-UTM'' aus der Zwischenablage einfügen
|-  
|-  
| {{b|Lokaler SSH&#8209;Schlüssel:}} || colspan="2" | '''Jetzt''' den lokalen Public-SSh-Key der Spare-UTM in die Zwischenablage einfügen.<br>Wechsel auf die ''Master-UTM'' und dort einfügen unter {{b| SSH&#8209;Schlüssel der Gegenstelle: }} (Auf der ''Master-UTM'' ist entspicht die ''Spare-UMT'' der Gegenstelle)
| {{b|Lokaler SSH&#8209;Schlüssel:}} || colspan="2" | '''Jetzt''' den lokalen Public-SSh-Key der Spare-UTM in die Zwischenablage einfügen.
|-
| class="Leerzeile" colspan="3" | {{mobil|<hr>|<br>}}Wechsel auf {{spc|vpn|s|Master}} {{Menu | Netzwerk |Clusterkonfiguration}} {{Reiter| Einstellungen}}
|-
| {{b| SSH&#8209;Schlüssel der Gegenstelle: }} || {{ic| <nowiki>ssh-rsa</nowiki><br><nowiki>AAAAB3Nz […] Q1/k=</nowiki><br>''<nowiki>root@spare.cluster.local</nowiki>''}} || colspan="2" | Public-Key der Spare-UTM aus der Zwischenablage einfügen. {{info|Auf der ''Master-UTM'' ist entspicht die ''Spare-UMT'' der Gegenstelle}}
|-
|-
| colspan="3" class="Leerzeile" | {{mobil|<hr>}}Auf beiden Seiten sollte sich nun ein lokaler SSH Schlüssel und jeweils der SSH Schlüssel der Gegenstelle gefinden. Speichern der Einstellungen auf beiden UTMs in diesem Dialog durch Betätigung der {{Button|Speichern}} Schaltfläche.  
| colspan="3" class="Leerzeile" | {{mobil|<hr>}}Auf beiden Seiten sollte sich nun ein lokaler SSH Schlüssel und jeweils der SSH Schlüssel der Gegenstelle gefinden. Speichern der Einstellungen auf beiden UTMs in diesem Dialog durch Betätigung der {{Button|Speichern}} Schaltfläche.  
|-
|-
| {{b|Synchronisationsstatus}} ||<span style="color:{{Farbe|#E9C321;}}">⬤</span> ||colspan="2" |  Der Synchronisationsstatus sollte nun von rot zu orange wechseln. Das bedeutet, die beiden UTMs sehen sich über die Hotwire-Schnittstelle, jedoch ist die Konfiguration noch nicht synchronisiert. <br>{{Hinweis|!|g}} Der Status wird in bestimmten Intervallen aktualisiert. In dem Reiter {{Reiter |Schnittstellen}} kann die Aktualisierung mit der Synchronisieren-Schaltfläche {{button||refresh}} manuell ausgelöst werden.
| {{b|Synchronisationsstatus}} ||<span style="color:{{Farbe|#E9C321;}}">⬤</span> ||colspan="2" |  Der Synchronisationsstatus sollte nun von rot zu orange wechseln. Das bedeutet, die beiden UTMs sehen sich über die Hotwire-Schnittstelle, jedoch ist die Konfiguration noch nicht synchronisiert. <br>{{Hinweis|!|g}} Der Status wird {{f|in bestimmten Intervallen§nämlich welchen?}} aktualisiert. In dem Reiter {{Reiter |Schnittstellen}} kann die Aktualisierung mit der Synchronisieren-Schaltfläche {{button||refresh}} manuell ausgelöst werden.
|-
|-
| class="Leerzeile" colspan="3"| {{button|Konfiguration synchronisieren}}
| class="Leerzeile" colspan="3"| {{spc|vpn|s|Master}} {{button|Konfiguration synchronisieren}}
|-
|-
| {{b|Synchronisationsstatus}} || <span style="color:{{Farbe|#3EAB30;}}">⬤</span>||colspan="2" |  Wenn die Synchronisation erfolgreich abgeschlossen wurde, steht jetzt der Synchronisationsstatus auf grün. Die beiden UTMs sind abgeglichen.<br>Dieser Vorgang kann überprüft werden, indem auf der Spare-UTM eine Konfiguration aufgerufen wird, die im Master verändert wurde.<br>
| {{b|Synchronisationsstatus}} || <span style="color:{{Farbe|#3EAB30;}}">⬤</span>||colspan="2" |  Wenn die Synchronisation erfolgreich abgeschlossen wurde, steht jetzt der Synchronisationsstatus auf grün. Die beiden UTMs sind abgeglichen.<br>Dieser Vorgang kann überprüft werden, indem auf der Spare-UTM eine Konfiguration aufgerufen wird, die im Master verändert wurde.<br>
Zeile 391: Zeile 400:
{{Hinweis|!|g}} Würde die Priorität auf der jetzigen Spare-UTM auf hoch gestellt und von da aus auch die Konfiguration synchronisiert werden, würde die erste Maschine automatisch zum Spare degradiert und die vormals Spare-UTM zum Master.
{{Hinweis|!|g}} Würde die Priorität auf der jetzigen Spare-UTM auf hoch gestellt und von da aus auch die Konfiguration synchronisiert werden, würde die erste Maschine automatisch zum Spare degradiert und die vormals Spare-UTM zum Master.
|-
|-
| class="Leerzeile" colspan="3" | {{mobil|<hr>}}<br>'''Cluster aktivieren'''<br>{{Menu|Netzwerk | Clusterkonfiguration}} {{Reiter|Einstelungen}}
| class="Leerzeile" colspan="3"| '''Externe Schnittstelle auf HA-Betrieb konfigurieren'''<br>{{spc|vpn|s|Master}} {{Menu| Netzwerk| Clusterkonfiguration}} {{ic|eth0|bc=&#EDEDED;}} {{button| |w}}  
|-
|-
| colspan="3" | Externe Interfaces an das DSL-Modem anschließen || class="bild" rowspan="4" | {{bild|UTM11_BP_Cluster_pic20.png|hochkant=1.5|Abb.: 1.14}}
| {{b|Name:}} || eth0 || Externe Schnittstelle zum Router || rowspan="3" class="bild" | {{bild| UTM_v11.8.7_Cluster_Konfig-exr_eth0.png|hochkant=1.5|l=Abb.: 1.26}}
|-
|-
| {{b|Cluster:}} || {{ButtonAn|Ein}} ||  
| {{b| Verwendung: }} || {{button|Schnittstelle für High Availability benutzen|dr}} || Hochverfügbarkeit konfigurieren
Dieser Schritt muss auf '''beiden UTMs''' ausgeführt werden.
|-
| {{b| Virtuelle IP-Adressen:}} || {{ic| {{cb|192.168.175.101/24}} | pd=5px 5px 2em 5px }} || Virtuelle IP-Adresse aus dem Netz des Routers
|-
| class="Leerzeile" colspan="3" | {{button|Speichern}} {{button|Konfiguration synchronisieren}} <br><br>{{mobil|<hr>}}<br>'''Cluster aktivieren'''<br>{{spc|vpn|s|Master}} & {{spc|vpn|s|Spare}} {{Menu|Netzwerk | Clusterkonfiguration}} {{Reiter|Einstelungen}}
|-
| {{b|Cluster:}} || {{ButtonAn|Ein}} → {{button| Speichern }}|| Dieser Schritt muss auf '''beiden UTMs''' ausgeführt werden. ||  class="bild" rowspan="3" | {{bild|UTM_v11.8.7_Cluster_Konfig-exr_Ergebnis.png|hochkant=1.5|l=Abb.: 1.14}}
|-
|-
| rowspan="2" | {{b| Clusterstatus }} || Auf der Master-UTM: <span style="color:{{Farbe|#3EAB30;}}">⬤</span> || Der Cluster ist nun in Betrieb und der Master des Clusters hat unsere virtuelle IP-Adresse 192.168.200.1 auf dem internen Interface.
| rowspan="2" | {{b| Clusterstatus }} || Auf der Master-UTM: <span style="color:{{Farbe|#3EAB30;}}">⬤</span> || Der Cluster ist nun in Betrieb und der Master des Clusters hat unsere virtuelle IP-Adresse 192.168.200.1 auf dem internen Interface.
|-
|-
| Auf der Spare-UTM: <span style="color:{{Farbe|#E9C321;}}">⬤</span> || Die Spare-UTM läuft als Hot-Standby im Backup-Modus im Hintergrund
| class="no1cell" | Auf der Spare-UTM: <span style="color:{{Farbe|#E9C321;}}">⬤</span> || Die Spare-UTM läuft als Hot-Standby im Backup-Modus im Hintergrund
|}
|}
----
----
----
Die UTMs haben innerhalb des Clusters eine unterschiedliche Priorität. Die höhere Priorität hat der Master, die niedrigere das Backup-System. Die UTM mit der eindeutigen internen IP-Adresse 192.168.100.2 ist Master. Im Webinterface unter Netzwerk -> Netzwerkkonfiguration wird die IP-Adresse des zukünftigen Hotwire-Interfaces hinzugefügt. In diesem Fall erhält LAN3/eth2 die IP-Adresse 192.168.180.2/24.




[[Datei:UTM11_BP_Cluster_pic21.png|600px|Abb.: 1.15]]
=== NAT in der Cluster-Konfiguration ===
<p>In beschrieben Konstellationen mit externen HA-Schnittstellen ist es {{f|notwendig§sinnvoll}} die NAT Einstellungen anzupassen.{{info|Die Ausfallzeit des Clusters wird reduziert, da keine neue IP-Adressen für die Kommunikation vergeben werden müssen.}} <br>
Wir beziehen uns hier auf das Beispiel „Cluster Konfiguration: Externer Router“.</p>


<p>Die externe virtuelle IP-Adresse des Clusters ist in der selben Broadcast Domain wie die externen IP-Adressen der Schnittsellen.<br>
Die Standardroute der UTMs zeigt auf den Router der die Internet Verbindung herstellt.</p>


Im Cluster Dialog (Netzwerk -> Clusterkonfiguration) wird jetzt der "Cluster Setup Wizard" gestartet. In "Step 1" wird die Hotwire-Schnittstelle ausgewählt und die IP-Adresse der Hotwire-Gegenstelle angegeben.
{| class="sptable"
|-
| Externe IP UTM 1 {{spc|vpn|s|Master}} || 192.168.175.102/24
|-
| Externe IP UTM 2 {{spc|vpn|s|Spare}} || 192.168.175.103/24
|-
|Virtuelle IP Cluster {{spc|cb|s|Cluster}}||192.168.175.101/24
|-
| IP des Routers || 192.168.175.1/24
|}


{{pt3|UTM_v11.8.7_Cluster_tcpdump.png|hochkant=2|tcpdump auf master.cluster.local}}
<p>Die UTM 1 ist der Master und besitzt die virtuelle IP-Adresse.<br>
Setzt man nun einen ping aus dem internen Netz auf die IP-Adresse des Routers ab, sieht man nebenstehendes im tcpdump der UTM1 auf dem externen Interface.</p>


[[Datei:UTM11_BP_Cluster_pic22.png|600px|Abb.: 1.16]]
<p>Der Ping wird vom Client im Standard-Regelwerk ''nicht über die virtuelle IP-Adresse'' des Clusters geNATet, sondern über die ''dem Master eindeutige IP-Adresse 192.168.175.102.''<br>
Das kommt zustande, weil die eindeutige IP-Adresse die erste IP auf der Schnittstelle ist und der Router sich in der gleichen Broadcast Domain befindet. Wechselt der Cluster auf das Backup System, wird dort nicht mehr die IP-Adresse der externen Schnittstelle der {{spc|vpn|s|Master}}-UTM 192.168.175.102 stehen, sondern die IP-Adresse der externen Schnittstelle der {{spc|vpn|s|Spare}}-UTM 192.168.175.103. </p>
<br clear=all>
{{pt3|UTM_v11.8.7_Cluster_Netzwerkobjekt-HA.png|hochkant=1}}
<p>Um das zu ändern wird im Menü {{spc|vpn|s|Master}} {{Menu|Firewall|Portfilter}} im Reiter {{Reiter|Netzwerkobjekte}} ein neues Objekt mit der virtuellen IP-Adresse auf dem Cluster Interface erstellt.  


<br clear=all>
{{Gallery3|UTM_v11.8.7_Cluster_Regel.png| Anschließend wird im Reiter {{Reiter| Portfilter}} die entsprechende HideNAT-Regel bearbeitet. In Beispiel die Regel Nummer 7. | UTM_v11.8.7_Cluster_Regel2.png | Das Objekt {{button|external-interface|dr}} wird durch das gerade erstellte Objekt {{button|HA-Externe-IP|dr}} ersetzt.
| i=2}}


In "Step 2" des Wizards wird eine zukünftige HA-Schnittstelle ausgewählt. Es wird die interne Schnittstelle ausgewählt. Die virtuelle IP-Adresse soll 192.168.175.1/24 sein. Eine HA-Schnittstelle kann mehrere virtuelle IP-Adressen erhalten. Diese IP-Adressen müssen nicht in derselben Broadcast-Domain der anderen IP-Adressen sein. Nachdem der Wizard durchlaufen wurde, können weitere HA-Schnittstellen konfiguriert werden.
<br>
{{Button|Speichern}} {{Button | Schließen}} {{Button|Regel aktualisieren|play}} {{spc|vpn|s|Master}} {{Menu|Netzwerk|Clusterkonfiguration}} {{Button|Konfiguration synchronisieren}}




[[Datei:UTM11_BP_Cluster_pic12.png|600px|Abb.: 1.17]]
{{pt3|UTM_v11.8.7_Cluster_tcpdump2.png|hochkant=2}}
Wird der Ping-Test jetzt wiederholt, wird die Cluster-IP 192.168.175.101 verwendet.<br>


{{Hinweis|!|g}} Wenn der Ping auf den Router ohne Unterbrechung lief, ist dieser noch im Conntrack gespeichert, der Ping wird also noch über die falsche IP-Adresse geNATet.<br>
Der Ping muss unterbrochen werden. Nach frühestens 30 Sekunden. kann der Ping dann neu gestartet werden.
<br clear=all>


Im Step 3 des Wizards werden Schnittstellen definiert, die auf dem Backup System (auch Spare genannt) nicht hochgefahren werden. In unserer Konfiguration haben wir '''keine''' solche Schnittstelle. Falls sie die Einwahl über ein DSL Modem machen wollen, welches direkt an der UTM terminiert ist, beachten sie bitte die Konfiguration im Abschnitt „Beispiel-Konfiguration: Externes DSL-Modem“.  
{{Hinweis| !! Für NAT Einstellungen müssen immer eindeutige IP-Adressen in den Netzwerkobjekten benutzt werden, wenn das NAT über ein HA-Interface konfiguriert wird. Das gilt nicht nur für HideNATs sondern auch Portweiterleitungen bzw. Destination NATs.}}


----


[[Datei:UTM11_BP_Cluster_pic23.png|600px|Abb.: 1.18]]
=== Applikationen in der Cluster-Konfiguration ===
{{pt3|UTM_v11.8.7_Cluster_Mailrelay_Allgemein.png }}
<p>Anwendungen verwenden IP-Adressen, um sich bei anderen Servern zu authentifizieren.<br>
Es ist bei einigen Anwendungen möglich, dafür die Cluster-IP festzulegen.<br>


Im nächsten Schritt können sie Applikationen definieren die auf dem Backup System nicht aktiv sein sollen. Das Verhalten entspricht dem Schritt 3. Wir wählen hier die Applikation DHCP Server aus, falls die UTM auch als DHCP Server agieren soll, sprich den Clients im internen Netz IP-Adressen vergeben soll. Falls sie eine UTM verwenden, die auch als Access Point dient, deaktivieren sie hier auch die Applikation WLAN-Server.


Beispielhaft wird das hier für das Mailrelay gezeigt.</p>


[[Datei:UTM11_BP_Cluster_pic14.png|600px|Abb.: 1.19]]
<p>Es sollen E-Mails über das Mailrelay der UTMs verschickt und empfangen werden.<br>
Dazu wurden entsprechende PTR, A, MX Records und SPF Einträge in den TXT Records der Domain gemacht, die auf die externe virtuelle IP-Adresse des Clusters zeigen. {{Hinweis|!|r}} Diese IP-Adressen müssen natürlich vom Router, der den Internetzugang in das eigene Netz weiterleitet, geroutet werden.<br>
Damit das Mailrelay nun auch E-Mails über diese virtuelle IP verschickt, muss in der Applikation die ausgehende IP-Adresse korrekt eingestellt werden. In unserem Fall die virtuelle IP 192.168.175.101</p>


<p>{{Button|Speichern}}<br>
Anschließend muss die Cluster Konfiguration erneut synchronisiert werden.<br>
{{Menu|Netzwerkkonfiguration | Clusterkonfiguration}} {{Button|Konfiguration synchronisieren}}</p>


Im letzten Schritt des Wizards legen sie die Passphrase für die Kommunikation der beiden UTMs auf den HA Schnittstellen fest (VRR-Protokoll) und die Priorität. Wir möchten das diese UTM die höhere Priorität hat, sprich im Regelfall Master ist.
{{Hinweis|!!|r}}Das Mailrelay kommuniziert jetzt '''immer '''mit der virtuellen IP-Adresse 192.168.175.101. Auch der interne Mailserver wird mit dieser IP als Absender kontaktiert. Das muss bei der Konfiguration des Mailservers berücksichtigt werden, sollte dieser nur SMTP-Verbindungen von bestimmten IPs akzeptieren.


Geänderter Inhalt
</p>


[[Datei:UTM11_BP_Cluster_pic15.png|600px|Abb.: 1.20]]




Die Konfiguration sieht nun wie folgt aus. Der Clusterstatus zeigt noch keinen Zustand an, weil der Cluster noch nicht auf aktiv geschaltet ist. Der Synchronisationsstatus steht auf rot, weil die Gegenstelle nicht erreichbar ist.


==== Kommunikation von Applikationen, die auf der Firewall laufen ====
Alle Applikationen, die von der Firewall selber eine Verbindung aufbauen, verwenden dafür (sofern nicht anders konfiguriert) die primären IPs der Schnittstellen. Sollten Management-IPs aus der gleichen Broadcast-Domäne verwendet werden, sind diese primären IPs '''nicht '''die virtuellen IP-Adressen.


[[Datei:UTM11_BP_Cluster_pic24.png|600px|Abb.: 1.21]]
===== Syslog =====
Syslog-Nachrichten  werden von der Management-IP der Master verschickt, wenn diese die aktive Maschine im Cluster ist, und von der Management-IP der Spare wenn diese aktiviert wurde.




Unter dem Punkt Einstellungen erzeugen sie nun einen SSH Public Key und kopieren ihn in die Zwischenablage.




[[Datei:UTM11_BP_Cluster_pic17.png|600px|Abb.: 1.22]]
===== HTTP-Proxy =====
Sollte ein Parent-Proxy in Benutzung sein, der Verbindungen nur von einer bestimmten IP annimmt, muss diese im Menü {{Menu|Anwendungen| HTTP-Proxy}} → Reiter {{Reiter|Allgemein}} → {{b|Ausgehende IP-Adresse}} angegeben werden.




Nun wird es Zeit, die zweite UTM im Cluster zu konfigurieren. Loggen sie sich über die IP-Adresse 192.168.175.3 auf das Web-Interface ein. Öffnen sie den Dialog Clusterkonfiguration und bearbeiten sie die Schnittstelle eth2 um sie als Hotwire zu kennzeichnen. Geben sie in dem Dialog als lokale IP-Adresse 192.168.180.3/24 und als Gegenstelle die bereits konfigurierte UTM mit der IP-Adresse 192.168.180.2 ein.
===== Mailrelay =====
s.o.


===== RADIUS-/LDAP-/AD-Anbindung =====
Sollte der Server nur Verbindungen von bestimmten IPs zulassen, müssen auf dem '''Ziel-Server''' jeweils die '''Management-IPs beider '''Geräte freigegeben werden.


[[Datei:UTM11_BP_Cluster_pic18.png|600px|Abb.: 1.23]]


===== IPSec =====
Alle IPSec-Verbindungen müssen in Phase 1 so angepasst werden, dass im Feld „Local Gateway“ eine der virtuellen IPs fest eingetragen ist.<br>
{{Menu|VPN|IPSec}} → {{Button| Phase 1|w}} →  {{Reiter|Allgemein}} {{b| Local Gateway}} {{Button|192.168.175.101|dr}}


Wechseln sie danach in den Dialog Clusterkonfiguration -> Einstellungen und generieren dort ebenfalls einen SSH Key. Kopieren sie den SSH Key von der ersten UTM aus der Zwischenablage in das Feld „SSH-Schlüssel der Gegenstelle“. Wechseln sie auf die erste UTM und kopieren sie den SSH Key der zweiten UTM in das Feld „SSH-Schlüssel der Gegenstelle“. Auf beiden Seiten sollte sich nun jeweils ein lokaler SSH Schlüssel und der SSH Schlüssel der Gegenstelle befinden. Speichern sie die Einstellungen auf beiden UTMs in diesem Dialog durch betätigen der „Speichern“ Schaltfläche. Der Synchronisationsstatus sollte nun von rot auf orange wechseln. Das bedeutet, die beiden UTMs sehen sich über die Hotwire Schnittstelle, aber die Konfiguration ist nicht synchronisiert.
=== SSL-VPN Server ===
In allen SSL-VPN-Server-Instanzen muss die Option Multihome aktiviert werden:<br>
{{ Menu| VPN | SSL-VPN}} {{Button | |w}} Reiter {{Reiter | Erweitert}} {{b|Multihome}} {{ButtonAn|Ein}}


Beachten sie bitte, dass der Status in bestimmten Intervallen aktualisiert wird. Wenn sie in dem Dialog „Schnittstellen“ die Aktualisierungs-Schaltfläche betätigen, können sie den Vorgang beschleunigen.


=== SSL-VPN Clients ===
Alle SSLVPN-Client-Instanzen müssen so angepasst werden, dass Sie eine der virtuellen IPs zum Verbindungsaufbau verwenden. Dazu sind folgende CLI-Befehle erforderlich:


[[Datei:UTM11_BP_Cluster_pic19.png|600px|Abb.: 1.24]]
{| class="sptable pd5"
 
! CLI-Befehl || Bedeutung
 
|-
Loggen sie sich nun aus dem aus der zweiten Maschine aus und wechseln sie wieder in das Web-Interface der ersten UTM, unserem Master. Betätigen sie nun den Button Konfiguration synchronisieren das erste Mal. Wenn die Synchronisation erfolgreich abgeschlossen wurde, steht jetzt der Synchronisationsstatus auf grün. Die beiden UTMs sind abgeglichen. Alles was sie auf der Master bereits konfiguriert haben, befindet sich jetzt auch auf der Backup Maschine. Sie können dies überprüfen, indem sie sich auf der Backup Maschine einloggen und die entsprechenden Dialoge öffnen. Da wir von der von uns definierten Master UTM die Synchronisation durchgeführt haben, wird die Cluster Priorität der zweiten Maschine (Backup) automatisch auf niedrig gestellt.
| {{code |master.cluster.local> openvpn get}} || Ermittelt die ID der SSLVPN-Verbindung
 
|-
 
| {{code|<nowiki>master.cluster.local> openvpn set id <ID> local_addr <VIRTUELLE-IP> local_port <FREIER-PORT></nowiki>}} || Setzt die lokale Adresse
Würden Sie die Priorität auf der jetzigen Backup UTM auf Hoch stellen und von da aus auch die Konfiguration synchronisieren, würde die erste Maschine automatisch zum Backup degradiert und die vormals Backup UTM zum Master.
|-
 
| {{code | master.cluster.local> appmgmt restart application openvpn}} || Aktiviert die Einstellungen
Wechseln Sie nun auf den Punkt Einstellungen und aktivieren sie den Cluster. Dieser Schritt muss auf beiden UTMs getrennt ausgeführt werden. Ihr Cluster ist nun in Betrieb und der Master des Clusters hat unsere virtuelle IP-Adresse 192.168.175.1 auf dem internen Interface.
 
 
[[Datei:UTM11_BP_Cluster_pic25.png|600px|Abb.: 1.25]]
 
 
Nun muss noch die externe Schnittstelle auf HA Betrieb konfiguriert werden. Bearbeiten sie diese Schnittstelle in der Clusterkonfiguration und stellen sie das Interface im Dialog auf „Schnittstelle für High Availability benutzen“.
 
 
[[Datei:UTM11_BP_Cluster_pic26.png|600px|Abb.: 1.26]]
 
 
Im zweiten Reiter des Dialogs stellen sie die virtuelle IP-Adresse ein, die wir vorab ausgewählt haben.
 
 
[[Datei:UTM11_BP_Cluster_pic27.png|600px|Abb.: 1.27]]
 
Speichern sie die Einstellungen und synchronisieren sie den Cluster damit die zweite Maschine die gleiche Konfiguration besitzt. Die Konfiguration ist sofort aktiv und ihr Cluster konfiguriert.
 
 
[[Datei:UTM11_BP_Cluster_pic28.png|600px|Abb.: 1.28]]
 
= NAT in der Cluster Konfiguration =
In bestimmten Konstellationen ist es notwendig die NAT Einstellungen anzupassen. Wir beziehen uns hier auf das Beispiel „Cluster Konfiguration: Externer Router“.
 
 
Die externen IP-Adressen des Clusters sind in der selben Broadcast Domain und die Standardroute der UTMs zeigt auf den Router der die Internet Verbindung herstellt.
 
 
Externe IP UTM 1:172.16.0.105/24
 
Externe IP UTM 2:172.16.0.106/24
 
Virtuelle IP Cluster:172.16.0.107/24
 
IP des Routers:172.16.0.1/24
 
 
Die UTM 1 soll Master sein und besitzt die virtuelle IP-Adresse. Setzen wir nun einen ping aus dem internen Netz auf die IP-Adresse des Routers ab, sehen wir Folgendes im tcpdump der UTM1 auf dem externen Interface.
 
 
[[Datei:UTM11_BP_Cluster_pic29.png|600px]]
 
 
Der Ping wird von unserem Client im Standard-Regelwerk nicht über die virtuelle IP-Adresse des Clusters geNATet, sondern über die dem Master eindeutige IP-Adresse 172.16.0.105. Das kommt zustande, weil die eindeutige IP-Adresse die erste IP auf der Schnittstelle ist und der Router sich in der gleichen Broadcast Domain befindet. Wechselt der Cluster auf das Backup System, wird dort nicht mehr die IP-Adresse 172.16.0.105 sondern die IP-Adresse 172.16.0.106 stehen.
 
Um das zu ändern erstellen wir unter Firewall -> Portfilter -> Netzwerkobjekte ein neues Objekt mit der virtuellen IP-Adresse auf dem Cluster Interface.
 
 
[[Datei:UTM11_BP_Cluster_pic30.png|300px|Abb.: 1.29]]
 
 
Wechseln sie in den Reiter Portfilter und bearbeiten sie die HideNAT Regel. In unserem Fall Regel Nummer 1.
 
 
[[Datei:UTM11_BP_Cluster_pic31.png|600px|Abb.: 1.30]]
 
 
Ersetzen sie das Objekt „external-interface“ durch ihr gerade erstelltes Objekt „HA-Externe-IP“. Speichern sie die Regel ab und aktualisieren sie das Regelwerk. Synchonisieren sie danach den Cluster.
 
 
[[Datei:UTM11_BP_Cluster_pic32.png|600px|Abb.: 1.31]]
 
 
Wenn sie den Ping Test wiederholen, sollten sie Folgendes sehen. Beachten sie: Wenn ihr Ping auf den Router ohne Unterbrechung lief, ist dieser noch im Conntrack gespeichert, der Ping wird also noch über die falsche IP-Adresse geNATet. Unterbrechen sie den Ping und warten sie mindestens 30 Sekunden. Starten sie den Ping dann neu.
 
 
[[Datei:UTM11_BP_Cluster_pic33.png|600px]]
 
 
{|style="background-color:#FFFFFF;border:2pt solid #FF0000;padding:5cm;"
|-
|-
|[[Datei:UMA20_AHB_hinweispic.png|50px]]
| class="Leerzeile" | <br>'''Beispiel'''
|'''Achtung!'''<br>
Achten sie darauf, dass Sie für NAT Einstellungen immer eindeutige IP-Adressen in den Netzwerkobjekten benutzen, wenn das NAT über ein HA Interface konfiguriert wird. Das gilt nicht nur für HideNATs sondern auch Portweiterleitungen bzw. Destination NATs.
|}
 
 
= Applikationen in der Cluster Konfiguration =
Ähnliches wie in dem Beispiel NAT in der Cluster Konfiguration kann auch für Applikationen zutreffen. Wir beziehen uns hier wieder auf die Cluster Konfiguration mit dem externen Router. Als Applikation nehmen wir uns das Mailrelay heraus.
 
 
Sie möchten E-Mails über das Mailrelay der UTMs verschicken und empfangen. Sie haben dazu entsprechende PTR, A, MX Records und SPF Einträge in den TXT Records ihrer Domain gemacht, die auf die externe virtuelle IP-Adresse des Clusters zeigen. Damit das Mailrelay nun auch E-Mails über diese virtuelle IP verschickt, müssen sie in der Applikation die ausgehende IP-Adresse korrekt einstellen. In unserem Fall die virtuelle IP 172.16.0.107.
 
 
[[Datei:UTM11_BP_Cluster_pic35.png|600px|Abb.: 1.32]]
 
Synchronisieren sie danach wieder die Cluster Konfiguration.
 
 
{|style="background-color:#FFFFFF;border:2pt solid #FF0000;padding:5cm;"
|-
|-
|[[Datei:UMA20_AHB_hinweispic.png|50px]]
| {{code| master.cluster.local> openvpn get<br>[...]<br>master.cluster.local> openvpn set id <1> local_addr <192.168.175.101> local_port <20000><br>master.cluster.local> appmgmt restart application openvpn}} || Beispiel
|'''Achtung!'''<br>
Das Mailrelay kommuniziert jetzt '''immer '''mit der virtuellen IP-Adresse 172.16.0.107. Auch der interne Mailserver wird mit dieser IP als Absender kontaktiert. Bitte berücksichtigen Sie das bei der Konfiguration Ihres Mailservers, sollte dieser nur SMTP-Verbindungen von bestimmten IPs akzeptieren.
|}
|}


== Kommunikation von Applikationen, die auf der Firewall laufen ==
Alle Applikationen, die von der Firewall selber eine Verbindung aufbauen, verwenden dafür (sofern nicht anders konfiguriert) die primären IPs der Schnittstellen. Sollten Sie Management-IPs aus der gleichen Broadcast-Domäne verwenden sind diese primären IPs '''nicht '''die virtuellen IP-Adressen.
=== Syslog ===
Das bedeutet, dass beispielsweise Syslog-Nachrichten von der Management-IP der Master verschickt werden, wenn diese die aktive Maschine im Cluster ist, und von der Management-IP der Spare wenn diese aktiviert wurde.
Folgende weitere Applikationen sind betroffen:
=== HTTP-Proxy ===
Sollte ein Parent-Proxy in Benutzung sein, der Verbindungen nur von einer bestimmten IP annimmt, muss diese unter „Anwendungen“ -> „HTTP-Proxy“ -> „Ausgehende Adresse“ angegeben werden.
=== Mailrelay ===
Bitte beachten Sie dazu die Hinweise im Abschnitt „Applikationen in der Cluster-Konfiguration“
=== RADIUS-/LDAP-/AD-Anbindung ===
Sollte der Server nur Verbindungen von bestimmten IPs zulassen, müssen auf dem Ziel-Server jeweils die Management-IPs '''beider '''Geräte freigegeben werden.
=== IPSec ===
Alle IPSec-Verbindungen müssen in Phase 1 so angepasst werden, dass im Feld „Local Gateway“ eine der virtuellen IPs fest eingetragen ist.
=== SSLVPN-Server ===
Alle SSLVPN-Server-Instanzen müssen so angepasst werden, dass unter „Einstellungen“ -> „Erweitert“ die Option „Multihome“ aktiviert ist.
=== SSLVPN-Clients ===
Alle SSLVPN-Client-Instanzen müssen so angepasst werden, dass Sie eine der virtuellen IPs zum Verbindungsaufbau verwenden. Führen Sie dazu folgende CLI-Befehle aus:




Zum Feststellen der ID der SSLVPN-Verbindung:
===== POP3 Proxy =====
Der POP3-Proxy kommuniziert '''immer mit der Management-IP''', sofern diese in der gleichen Broadcast-Domain wie das Default-Gateway ist. Dies ist bei der Beschränkung des Zugriffs auf POP3-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.


firewall> openvpn get


 
===== Clientless VPN =====
Zum Setzen der lokalen Adresse;
 
<nowiki>firewall> openvpn set id <ID> local_addr <VIRTUELLE-IP> local_port <FREIER-PORT></nowiki>
 
 
Zum Aktivieren der Einstellungen:
 
firewall> appmgmt restart application openvpn
 
 
=== POP3 Proxy ===
Der POP3-Proxy kommuniziert immer mit der Management-IP, sofern diese in der gleichen Broadcast-Domain wie das Default-Gateway ist. Dies ist bei der Beschränkung des Zugriffs auf POP3-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.
 
 
=== Clientless VPN ===
Verbindungen zu RDP/VNC-Servern werden immer mit den Management-IPs aufgebaut. Dies ist bei der Beschränkung des Zugriffs auf RDP/VNC-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.
Verbindungen zu RDP/VNC-Servern werden immer mit den Management-IPs aufgebaut. Dies ist bei der Beschränkung des Zugriffs auf RDP/VNC-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.




=== Nameserver ===
===== Nameserver =====
Verbindungen zu DNS-Servern werden immer mit den Management-IPs aufgebaut. Dies ist bei der Beschränkung des Zugriffs auf DNS-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.
Verbindungen zu DNS-Servern werden immer mit den Management-IPs aufgebaut. Dies ist bei der Beschränkung des Zugriffs auf DNS-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.


= CLI Befehle =
=== CLI Befehle ===
Im folgenden werden Befehle für die Securepoint CLI beschrieben.
Im folgenden werden Befehle für die Securepoint CLI beschrieben.


{| class="sptable pd5"
|-
! style="min-width: 100px;" | CLI Befehl !! style="min-width: 210px;" | Ausgabe !! Beschreibung
|-
| rowspan="3" | '''cluster info''' || {{code|{{td|cluster_state| &#8739;master<br>&emsp;''backup<br>&ensp;none''|w=100px}} }} || Der Cluster State gibt an wer im Cluster gerade Master oder Backup ist oder ob der Cluster überhaupt aktiv ist. Die Ausgabe bezieht sich immer auf die Maschine, auf der dieser Befehl ausführt wird.
|-
| {{code|{{td|sync_state | &#8739;synchronized<br>&ensp;''pending<br>&ensp;error''|w=100px}} }} || Im welchen Zustand befindet sich die Konfiguration. Dabei bedeutet „synchronized“, das sie auf beiden UTMS des Clusters gleich ist. Der Zustand „pending“ bedeutet, die UTMs haben einen unterschiedlichen Stand. In beiden Fällen können die Mitglieder miteinander kommunizieren. Der Zustand „error“ weist darauf hin das sie keine Daten austauschen können. Das könnte der Fall sein, wenn kein Hotwire Interface konfiguriert ist, die Verkabelung nicht korrekt ist, die SSH Keys nicht ausgetauscht wurden, oder falsche SSH Keys verwendet werden.
|-
| {{code|{{td|hotwire_dev | &#8739;eth''x''|w=100px}} }} || Gibt das Interface an, auf dem das Hotwire Interface konfiguriert ist.
|-
| '''system config save name <Name der Konfiguration>''' || || Falls in der CLI eine Konfigurationsänderung durchgeführt wurde, muss diese erst lokal gespeichert werdn. Erst dann wird eine Synchronisierung des Clusters übertragen.
|-
|'''system config synchronize''' ||  || Durch diesen Befehl kann die Konfiguration über die Hotwire Schnittstelle an den Cluster Partner übertragen werden. {{Hinweis|!|gelb}}Dabei wird die Konfiguration von der UTM verwendet, auf der der Befehl ausgeführt wird.
|-
| '''extc value get application "securepoint_firewall" variable "UPDATE_TRIGGER_DELAY"''' || {{code| Value &#8739;2}} || Zeigt den Delay in Sekunden an, bevor im Fehlerfall, von Master auf Backup geschaltet wird. Der Standardwert ist 2 Sekunden.
|-
|'''extc value set application "securepoint_firewall" variable "UPDATE_TRIGGER_DELAY" value 2''' || {{code|OK}} || Verändert den Delay, für den Fehlerfall, das von Master auf Backup geschaltet wird. Der Standardwert ist 2 Sekunden und sollte nicht niedriger eingestellt werden. Falls die Appliances im Cluster eine hohe Grundlast haben sollten, kann der Wert höher eingestellt werden. {{Hinweis|!|gelb}} Die Einstellung ist sofort aktiv und kann via ''system config synchronize'' auf den Partner übertragen werden.
|}


'''CLI Befehle: cluster info'''
----


 
=== Einschränkungen ===
Ausgabe:
==== DHCP-Client mit HA-Schnittstelle kombinieren ====
 
 
cluster_state:backup/master/none
 
 
Der Cluster State gibt an wer im Cluster gerade Master oder Backup ist oder ob der Cluster überhaupt aktiv ist. Die Ausgabe bezieht sich immer auf die Maschine, auf der dieser Befehl ausführt wird.
 
 
sync_state:synchronized/pending/error
 
 
Im welchen Zustand befindet sich die Konfiguration. Dabei bedeutet „synchronized“, das sie auf beiden UTMS des Clusters gleich ist. Der Zustand „pending“ bedeutet, die UTMs haben einen unterschiedlichen Stand. In beiden Fällen können die Mitglieder miteinander kommunizieren. Der Zustand „error“ weist darauf hin das sie keine Daten austauschen können. Das könnte der Fall sein, wenn kein Hotwire Interface konfiguriert ist, die Verkabelung nicht korrekt ist, die SSH Keys nicht ausgetauscht wurden, oder falsche SSH Keys verwendet werden.
 
 
hotwire_dev:ethx
 
 
Auf welchen Interface ist das Hotwire Interface konfiguriert.
 
 
'''CLI Befehl: system config synchronize'''
 
 
<nowiki>Durch diesen Befehl kann die Konfiguration über die Hotwire Schnittstelle an den Cluster Partner übertragen werden. Dabei wird die Konfiguration von der UTM verwendet, auf der sie den Befehl ausführen. Falls sie in der CLI eine Konfigurationsänderung durchgeführt haben, speichern sie diese erst lokal durch den CLI Befehl „system config save name <Name ihrer Konfiguration>“. Erst dann synchronisieren die Konfiguration des Clusters. Ansonsten wird die Änderung nicht übertragen.</nowiki>
 
 
'''CLI Befehl: extc value get application "securepoint_firewall" variable "UPDATE_TRIGGER_DELAY"'''
 
 
Zeigt den Delay in Sekunden an, bevor im Fehlerfall, von Master auf Backup geschaltet wird. Der Standardwert ist 2 Sekunden.
 
 
'''CLI Befehl: extc value set application "securepoint_firewall" variable "UPDATE_TRIGGER_DELAY" value 2'''
 
 
Verändert den Delay, für den Fehlerfall, das von Master auf Backup geschaltet wird. Der Standardwert ist 2 Sekunden und sollte nicht niedriger eingestellt werden. Falls ihre Appliances im Cluster eine hohe Grundlast haben sollten, stellen sie den Wert höher ein. Die Einstellung ist sofort aktiv und kann via „system config synchronize“ auf den Partner übertragen werden.
 
 
= Einschränkungen =
== DHCP-Client mit HA-Schnittstelle kombinieren ==
Konfigurieren sie kein HA Interface auf einem Ethernet oder VLAN Interface auf dem sie DHCP Client konfiguriert haben, also die UTM auf dem Interface eine IP-Adresse dynamisch zugewiesen bekommt. Sollte der DHCP Server nicht erreichbar sein nachdem sie die UTM gestartet haben und ist sie in dem Augenblick auch der Master im Cluster, wird die virtuelle IP-Adresse vom Interface entfernt sobald der DHCP Server wieder erreichbar ist und die UTM eine neue IP-Adresse vom DHCP Server empfängt.
Konfigurieren sie kein HA Interface auf einem Ethernet oder VLAN Interface auf dem sie DHCP Client konfiguriert haben, also die UTM auf dem Interface eine IP-Adresse dynamisch zugewiesen bekommt. Sollte der DHCP Server nicht erreichbar sein nachdem sie die UTM gestartet haben und ist sie in dem Augenblick auch der Master im Cluster, wird die virtuelle IP-Adresse vom Interface entfernt sobald der DHCP Server wieder erreichbar ist und die UTM eine neue IP-Adresse vom DHCP Server empfängt.


== DHCP-Server in einer Clusterumgebung ==
==== DHCP-Server in einer Clusterumgebung ====
In einem UTM-Cluster ist grundsätzlich davon abzuraten den DHCP-Server der UTM zu verwenden, da die DHCP-Kommunikation mit dem Client über die Management-IP der UTM abgewickelt wird und die Leases nicht synchronisiert werden. Es wird empfohlen einen externen DHCP-Server bzw. das DHCP-Relay der UTM zu verwenden.
{{Hinweis | !|r}} Bei Verwendung der UTM als DHCP-Server dürfen diese IP-Adressen nicht in der gleichen [http://de.wikipedia.org/wiki/Broadcast_Domain Broadcast Domain] der anderen IP-Adressen liegen.<br>
 
Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren. Siehe: [[#Schritt2 | Cluster Konfiguration Schritt 2]]
 
 
 
----
----
<references/>

Version vom 16. Januar 2020, 10:57 Uhr




























Securepoint Cluster Konfiguration
Best Practice

Letzte Anpassung zur Version: 11.8.7


Neu:

  • Erweiterte Hinweise zu DHCP
  • Artikelanpassung


Vorherige Versionen: 11.7


Wichtige Information

Aktuelle Software
Installieren Sie immer die neueste Version der Software. Nur in der aktuellen Version sind die neusten Funktionen, Sicherheits-Erweiterungen und Fehlerkorrekturen enthalten.

Einsatzgebiete

Die UTM wird, durch die Umwandlung in einen Hot-Standy UTM-Cluster, aufgewertet und sichert geschäftskritische Prozesse gegen den Ausfall einer UTM ab. Securepoint stellt dazu einen Aktiv-/Passiv-Cluster zur Verfügung. Die UTMs innerhalb des Clusters überwachen sich gegenseitig und schalten bei Bedarf automatisch auf das Gerät mit dem besten Status um. Ein Eingriff des Administrators nicht notwendig.

Cluster-01.jpg
Abb.: 1.1

Einrichtung

Bei der Einrichtung des UTM-Clusters werden zwei UTMs mit identischer Firmware über eine Hotwire-Schnittstelle verbunden. Die Installation mit dem „Cluster Setup Wizard“ wird auf der Ursprungs-UTM ausgeführt, die im dann erstellen Cluster der MASTER sein wird. Mit dieser UTM wird die Synchronisierung der Konfiguration durchgeführt. Auf der Spare-UTM, die im Cluster das BACKUP sein wird, werden bei der Installation die Hotwire-Schnittstelle definiert sowie ein SSH-Schlüssel erzeugt. Auch wird auf der Spare der SSH-Schlüssel des MASTER eingetragen.

Die aktive UTM im Cluster, hat die höhere Priorität und wird als MASTER bezeichnet.

Die UTM mit der niedrigeren Priorität, die passive UTM, ist das BACKUP.

Voraussetzungen

Zum Cluster-Betrieb sind folgende Voraussetzungen notwendig:


  • Eine Cluster-Lizenz

    Zur Konfiguration und den Betrieb des UTM-Clusters wird eine gültige Cluster-Lizenz benötigt, die im Securepoint Reseller Portal beantragt werden kann:

    Endkunden wenden sich bitte an Ihren autorisierten Securepoint Reseller.

    Die Menüpunkte zur Cluster-Konfiguration sind sichtbar, sobald eine Cluster-Lizenz eingespielt ist.

  • Zwei identische Appliances mit mindestens 3 Ethernet Schnittstellen und gleicher Firmware

    Im kleinsten Szenario (siehe Abbildung 1.1) sind eine Eingangs-Schnittstelle (internes LAN) und eine Ausgangs-Schnittstelle (externes LAN) sowie die dritte freie Schnittstelle vorhanden. Diese, im Folgenden auch als Hotwire-Schnittstelle bezeichnet, wird für den Abgleich der Konfiguration und das Connection-Tracking benötigt. Sie kann keine weitere Netzwerkfunktion übernehmen.

  • Die eingesetzten Switches und Router unterstützen gratuitous ARP

    Kommt es im UTM-Cluster zum Master-/Backup-Wechsel, sendet die jetzt aktive UTM gratuitous ARP Pakete an ihre Umgebung, um die neuen MAC-Adresse bekannt zu geben.
    Unterstützen die Switches bzw. Router diese Funktion nicht, können sie nur verzögert über die aktive UTM kommunizieren.


Funktionsweise des Clusters

Funktionsweise des Clusters
Abb.: 1.2


Der Cluster verwendet eindeutige IP- und MAC-Adressen für die beiden Mitglieder des Clusters sowie virtuelle IP-Adressen für den Cluster selber. Die virtuellen IP-Adressen sind allein auf dem aktiven Mitglied des UTM-Clusters aktiv. Fällt das aktive Mitglied des Clusters ganz oder teilweise aus, so wechseln die virtuellen IP-Adressen zum zweiten Mitglied des Clusters.

Für die Clients und Server in einer Clusterkonfiguration, ist die virtuelle IP-Adresse der Kommunikationspartner im Routing (also zum Beispiel das Standard Gateway, siehe Abb. 1.2).


Das Cluster VRR Protokoll

Das Cluster VRR Protokoll
UTM11 BP Cluster pic6.png


VRRP (Virtual Router Redundancy Protocol) ist das Kommunikationsprotokoll des Clusters. Es ist einzig auf den Schnittstellen aktiv, die als High-AvailibilitySchnittstelle konfiguriert sind. Über dieses Protokoll versendet der Master des UTM-Clusters Datenpakete an das Backup. Empfängt das Backup keine Datenpakete, so stuft es sich zum Master hoch.

Mit Hilfe von tcpdump können sie das Protokoll auf einer HA-Schnittstelle sichtbar machen (siehe Abb.)

Es sind keine speziellen Firewall Regeln notwendig, um die Kommunikation mit dem VRR-Protokoll zu ermöglichen.

Umschalten des Clusters

Das Umschalten innerhalb des Clusters kann unter folgenden Bedingungen passieren:

  • Das aktive Mitglied eines Clusters wird neu gestartet oder ganz heruntergefahren.
  • Ein oder mehrere HA-Schnittstellen haben keinen physikalischen Link mehr.
  • Der Link einer HA-Schnittstelle ist aktiv, aber aufgrund eines defekten oder falsch konfigurierten Switches kommen die VRRP Pakete nicht beim Cluster Partner an.
  • Die Cluster Funktion wird auf dem aktiven Cluster-Partner durch den Administrator deaktiviert.


Sind mehr als zwei HA-Schnittstellen aktiviert, besteht im Fehlerfall die Möglichkeit, dass eine unterschiedliche Anzahl von HA-Schnittstellen nicht mehr kommunizieren können. In diesem Fall wird die UTM das aktive Mitglied werden, auf der die meisten Schnittstellen einen Link haben, solange sich die UTMs über wenigstens einer HA-Schnittstelle noch sehen. Sehen sich die UTMs auf keiner Schnittstelle mehr, gehen beide davon aus, dass das zweite Mitglied des Clusters nicht mehr vorhanden ist und beide werden zum Master.


Tabelle, Verhalten im Cluster, Beispiel zwei HA-Schnittstellen:

HA-Schnittstelle 1 HA-Schnittstelle 2 UTM 1 Status UTM 2 Status
UTM 1 UP
, UTM 2 UP		 UTM 1 UP
, UTM 2 UP
Aktiv
Passiv
UTM 1 DOWN
, UTM 2 UP		 UTM 1 UP
, UTM 2 UP
Passiv
Aktiv
UTM 1 DOWN
, UTM 2 DOWN		 UTM 1 UP
, UTM 2 UP
Aktiv
Passiv
UTM 1 DOWN
, UTM 2 DOWN		 UTM 1 UP
, UTM 2 DOWN
Aktiv
Aktiv
UTM 1 DOWN
, UTM 2 DOWN		 UTM 1 DOWN
, UTM 2 DOWN
Aktiv
Aktiv


Hierbei ist zu beachten, dass UTM-1 eine höhere Priorität als UTM-2 hat. Ist der Zustand in der Tabelle aktiv und als rot gekennzeichnet bedeutet das, dass sich die beiden Mitglieder des Clusters nicht mehr sehen und davon ausgehen, dass der jeweils andere Partner nicht mehr vorhanden ist. Beide Mitglieder des Clusters sind dann aktiv. Eine Netzwerkkommunikation ist dann allerdings generell nicht mehr möglich, da das Problem in der Umgebung liegt.

Hotwire-Schnittstelle

Hotwire-Schnittstelle
Abb.: 1.3


Die Hotwire-Schnittstelle ist eine exklusive Schnittstelle, die nur zum Synchronisieren der Konfiguration der Cluster-Mitglieder und Abgleich der laufenden Verbindungen (Connection-Tracking) verwendet wird. Diese Schnittstelle hat exklusiv diese Aufgabe. Bei der Auswahl der Appliances muss darauf geachtet werden, daß für das Hotwire-Netz jeweils eine Schnittstelle frei sein ist.

Für die Synchronisation der Konfiguration wird das SSH-Protokoll (TCP/22) verwendet. Das Connection-Tracking wird über den Port 3780 (UDP) abgeglichen. Ist eine Ethernet-Schnittstelle als Hotwire gekennzeichnet, werden die Regeln für die Kommunikation automatisch generiert. Für die SSH-Verbindung müssen öffentliche Schlüssel zwischen den Mitgliedern des UTM-Clusters ausgetauscht werden. Der Abgleich der Konfiguration kann in beide Richtungen zwischen den Mitgliedern des Clusters erfolgen. Das Connection-Tracking wird immer automatisch vom Master im Cluster zum Backup übertragen (Abb. 1.3).

Die Hotwire-Verbindung soll immer über eine direkte Kabelverbindung erfolgen (kein Switch etc. dazwischen). Stellen sie bitte sicher, dass niemand zu dem Zeitpunkt administrativ das Mitglied des Clusters verwendet, zu dem sie synchronisieren möchten.

Konfiguration abgleichen

Über die Hotwire-Schnittstelle wird die Konfiguration synchronisiert. Änderungen, die auf einer Maschine im Cluster gemacht wurden, werden über diese Schnittstelle auf das andere Gerät übertragen. In der Regel wird die Konfiguration, nach der Inbetriebnahme des Clusters, allein auf einer UTM durchgeführt. Wir empfehlen den Master zu verwenden. Der Abgleich erfolgt immer manuell. Der Administrator entscheidet, wann er die Konfiguration im UTM-Cluster abgleichen möchte.


Folgende Teile der Konfiguration werden nicht abgeglichen:

  1. IP-Adressen die eindeutig zu einer Maschine gehören und die auf Ethernet- oder VLAN- Schnittstellen konfiguriert wurden.
    Das sind die IP-Adressen, die im Webinterface unter dem Punkt → Netzwerk →Netzwerkkonfiguration eingestellt werden. Wird ein Ethernet- oder VLAN-Schnittstelle neu erzeugt, wird dies zwar übertragen, jedoch nicht die Information über die IP-Adressen dieser Schnittstellen. Diese müssen bei Bedarf manuell auf dem Cluster-Mitglied konfiguriert werden, denn sie sind immer eindeutig einer UTM zugewiesen. Diese IP-Adressen sollen nicht mit virtuellen IP-Adressen auf einer HA-Schnittstelle verwechselt werden, die sich beide Maschinen im Cluster teilen.

  2. Active Directory-Appliance-Account.
    Dieser Account ist immer eindeutig im AD. Man erstellt unterschiedliche Namen auf beiden Maschinen und meldet jede separat am Active Directory an.

Es ist nicht zwingend notwendig, eindeutige IP-Adressen auf Schnittstellen zu konfigurieren, auf dem eine HA-Schnittstelle mit virtuellen IP-Adressen betrieben wird. Soll über diese Schnittstelle das Mitglied des UTM-Clusters eindeutig identifiziert werden, ist dies jedoch erforderlich. In dem Fall gelangt man über die virtuelle IP-Adresse auf die UTM, die in dem Augenblick der Master ist.

Beispiel-Konfiguration: Externes DSL-Modem

In diesem Beispiel wird eine Konfiguration aufgezeigt, mit der Sie einen UTM-Cluster an einer DSL-Leitung betreiben können. Die Einwahl erfolgt direkt durch die UTM.

Netzwerkkonfiguration:

Erstes Mitglied des Clusters (UTM 1,  Master)
eth0: Externe DSL Verbindung mittels PPPoE.
eth1: Interne IP-Adresse: 192.168.100.2/24
eth2: Hotwire-IP-Adresse:192.168.180.2/24

Zweites Mitglied des Clusters (UTM 2,  Spare)
eth0: Externe DSL Verbindung mittels PPPoE.
eth1: Interne IP-Adresse:192.168.100.3/24
eth2: Hotwire-IP-Adresse:192.168.180.3/24

Als virtuelle IP-Adresse wird 192.168.200.1/24 definiert.
Diese IP-Adresse ist das Standard-Gateway des internen Netzwerks.
Bei Verwendung des DHCP-Servers, darf die Virtuelle IP-Adresse nicht im gleichen Netz wie die physische IP Adresse der Schnittstelle sein. Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren.

Inbetriebnahme der UTMs

Zur Inbetriebnahme des UTM-Clusters wird zunächst der Installationsassistent verwendet. Um eine Doppeleinwahl zu unterbinden, soll das DSL-Modem nicht angeschlossen sein. Die Konfiguration der beiden UTMs unterscheidet sich bis zu diesem Zeitpunkt allein durch die interne und externe IP-Adresse. Im letzten Schritt des Installationsassistenten wird die Cluster-Lizenz ausgewählt. Nach Abschluss des Assistenten werden die UTMs neu gestartet.

Hotwire-Schnittstelle

Die UTMs werden nun physikalisch über die ausgewählte Hotwire-Schnittstelle verbunden. Diese muss auf den Maschinen den gleichen Port belegen - zum Beispiel LAN3/eth2.

Cluster-Konfiguration



























Die UTMs haben innerhalb des Clusters eine unterschiedliche Priorität. Die höhere Priorität hat der Master, die niedrigere das Backup-System. In unserem Beispiel wird die UTM mit der eindeutigen internen IP-Adresse 192.168.100.2 Master sein. Login über das Webinterface mit dieser IP und dem Port für Administration (Default: 11115).

Cluster-Konfiguration
Master-UTM
Master-UTM
IP-Adresse der zukünftigen Hotwire-Schnittstelle
 Master → Netzwerk →Netzwerkkonfiguration eth2 → IP-Adressen
IP-Adressen: » ✕192.168.180.2/24 In der Clickbox wird die IP-Adresse der zukünftigen Hotwire-Schnittstelle hinzugefügt.
Im Beispiel bekommt LAN3/eth2 die IP-Adresse 192.168.180.2/24.		 UTM v11.8.7 Cluster Schnittstelle1.png
Abb.

Start des Cluster-Setup-Wizard unter  Master → Netzwerk →Clusterkonfiguration Cluster Assistent
Cluster Assistent Schritt 1
Hotwire Schnittstelle eth2: 192.168.180.2/24 Auf beiden Geräten muss die gleiche Schnitstelle gewählt werden! UTM v11.8.7 Cluster-Assistent Schritt1.png
Abb.: 1.5
Lokale IP‑Adresse: 192.168.180.2/24 IP-Adresse der Master-UTM
Remote IP‑Adresse: 192.168.180.3 IP-Adresse der Hotwire-Gegenstelle (Spare-UTM)

Cluster Assistent Schritt 2
Schnittstelle: eth1 Das zukünftige HA-Interface. Im Beispiel die interne Schnittstelle. UTM v11.8.7 Cluster-Assistent Schritt2.png
Abb.: 1.6
Virtuelle IP‑Adresse: 192.168.200.1/24 Die virtuelle IP-Adresse soll 192.168.200.1 sein. Es können auf einer HA-Schnittstelle auch mehrere virtuelle IP-Adressen liegen.
Bei Verwendung der UTM als DHCP-Server dürfen diese IP-Adressen nicht in der gleichen Broadcast Domain der anderen IP-Adressen liegen.<span

class="mw-collapsible mw-collapsed icon hover" data-expandtext="" data-collapsetext="" id="mw-customcollapsible-hover" >Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren.
Nachdem der Wizard durchlaufen wurde, können auch weitere HA-Schnittstellen konfiguriert werden.


Cluster Assistent Schritt 3
Deaktivierte Schnittstellen während das Gerät im Backup Modus ist: ×wan0 Schnittstellen, die auf dem Backup-System, der Spare-UTM, nicht hochgefahren werden.
Im Beispiel wan0 (das DSL Interface). Die Einwahl soll nur durch die gerade aktive Master-UTM im Cluster erfolgen. <span

class="mw-collapsible mw-collapsed icon hover" data-expandtext="" data-collapsetext="" id="mw-customcollapsible-hover"

>Dadurch ist es möglich, beide externen Interfaces der UTMs an das DSL Modem anzuschließen. Falls das Modem nur einen LAN Port besitzt, ist ein separater Switch zu verwenden. || rowspan="1" class="bild" | UTM v11.8.7 Cluster-Assistent Schritt3.png
Abb.: 1.7

Cluster Assistent Schritt 4
Deaktivierte Anwendungen während das Gerät im Backup Modus ist:×Clientless VPN ×DHCP Server ×Greylisting Filter ×HTTP Proxy ×IPSEC ×L2TP VPN ×Mailrelay ×POP3 Proxy ×Routing Daemon ×SPF Filter ×SSL-VPN ×Spamfilter ×WLAN ServerDefault Per Default sind hier Anwendungen aufgeführt, die, sofern sich die Spare-UTM im Backup-Modus befindet, deaktiviert sein sollen UTM v11.8.7 Cluster-Assistent Schritt4.png
Abb.: 1.8

Cluster Assistent Schritt 5
Priorität Hoch Die Master-UTM erhält die Priorität »hoch«. UTM v11.8.7 Cluster-Assistent Schritt5.png
Abb.: 1.9
Passphrase: insecure Die Passphrase für die Kommunikation der beiden UTMs auf den HA-Schnittstellen (VRR Protokoll)
Cluster Assistent abschließen mit Fertig

 Master → Netzwerk →Clusterkonfiguration Schnittstellen
eth1 Schnittstelle benutzt für High Availability Virtuelle IP 192.168.200.1/24
IP-Adresse: 192.168.100.2/24		 UTM v11.8.7 Cluster Konfig.png
Abb.: 1.10
eth2 Schnittstelle wird benutzt als Hotwire IP-Adresse 192.168.180.2/24
wan0 Schnittstelle ist beim Backup deaktiviert
Clusterstatus: ⬤ Der Clusterstatus zeigt noch keinen Zustand an, weil der Cluster noch nicht auf aktiv geschaltet ist.
Synchronisationsstatus: ⬤ Der Synchronisationsstatus steht auf rot, weil die Gegenstelle nicht erreichbar ist.


 Master → Netzwerk →Clusterkonfiguration Einstelungen
Lokaler SSH‑Schlüssel: Neuen lokalen SSH-Schlüssel generieren Im Reiter Einstellungen wird ein SSH Public Key erzeugt. UTM v11.8.7 Netzwerk Cluster-Config Einstellungen.png
Abb.: 1.11
ssh-rsa
AAAAB3Nz […] zE0SU=
root@master.cluster.local		 SSH-Schlüssel in die Zwischenablage kopieren
Spare-UTM
Spare UTM

Login über die IP-Adresse 192.168.180.3 auf das Web-Interface der Spare-UTM.
 Spare → Netzwerk →Clusterkonfiguration Schnittstellen
Name: eth2 eth2 Schnittstelle bearbeiten UTM v11.8.7 Netzwerk Cluster-Config UTM2 eth2.png
Abb.: 1.12
Verwendung: Schnittstelle als Hotwire benutzen Die Schnittstelle eth2 der Spare-UTM wird als Hotwire gekennzeichnet.
Lokale IP-Adresse: 192.168.180.3/24 IP-Adresse der Spare-UTM, die für Hotwire verwendet werden soll.
Remote IP-Adresse: 192.168.180.2 IP-Adresse der bereits konfigurierten Master-UTM, die als Hotwire angesprochen werden soll.

 Spare → Netzwerk →Clusterkonfiguration Einstellungen
Lokaler SSH‑Schlüssel: Neuen lokalen SSH-Schlüssel generieren SSH Public Key für die Spare-UTM erzeugen UTM v11.8.7 Netzwerk Cluster-Config Einstellungen-Spare.png
Abb.: 1.13
ssh-rsa
AAAAB3Nz […] Q1/k=
root@spare.cluster.local		 SSH-Schlüssel noch nicht in die Zwischenablage kopieren
SSH‑Schlüssel der Gegenstelle: ssh-rsa
AAAAB3Nz […] zE0SU=
root@master.cluster.local		 Public-SSH-Key der Master-UTM aus der Zwischenablage einfügen
Lokaler SSH‑Schlüssel: Jetzt den lokalen Public-SSh-Key der Spare-UTM in die Zwischenablage einfügen.

Wechsel auf  Master → Netzwerk →Clusterkonfiguration Einstellungen
SSH‑Schlüssel der Gegenstelle: ssh-rsa
AAAAB3Nz […] Q1/k=
root@spare.cluster.local		 Public-Key der Spare-UTM aus der Zwischenablage einfügen.
Auf der Master-UTM ist entspicht die Spare-UMT der Gegenstelle
  
Auf beiden Seiten sollte sich nun ein lokaler SSH Schlüssel und jeweils der SSH Schlüssel der Gegenstelle gefinden. Speichern der Einstellungen auf beiden UTMs in diesem Dialog durch Betätigung der Speichern Schaltfläche.
Synchronisationsstatus ⬤ Der Synchronisationsstatus sollte nun von rot zu orange wechseln. Das bedeutet, die beiden UTMs sehen sich über die Hotwire-Schnittstelle, jedoch ist die Konfiguration noch nicht synchronisiert.
Der Status wird Nur für interne Prüfzwecke aktualisiert. In dem Reiter Schnittstellen kann die Aktualisierung mit der Synchronisieren-Schaltfläche manuell ausgelöst werden.
 Master Konfiguration synchronisieren
Synchronisationsstatus ⬤ Wenn die Synchronisation erfolgreich abgeschlossen wurde, steht jetzt der Synchronisationsstatus auf grün. Die beiden UTMs sind abgeglichen.
Dieser Vorgang kann überprüft werden, indem auf der Spare-UTM eine Konfiguration aufgerufen wird, die im Master verändert wurde.

Die Cluster Priorität → Netzwerk →Clusterkonfiguration einstellungen der Spare-UTM (Backup) wurde automatisch auf niedrig gestellt.
Würde die Priorität auf der jetzigen Spare-UTM auf hoch gestellt und von da aus auch die Konfiguration synchronisiert werden, würde die erste Maschine automatisch zum Spare degradiert und die vormals Spare-UTM zum Master.


Cluster aktivieren
 Master &  Spare → Netzwerk →Clusterkonfiguration Einstelungen
Externe Interfaces an das DSL-Modem anschließen UTM v11.8.7 Cluster Konfig Ergebnis.png
Abb.: 1.14
Cluster: Ein

Dieser Schritt muss auf beiden UTMs ausgeführt werden.

Clusterstatus Auf der Master-UTM: ⬤ Der Cluster ist nun in Betrieb und der Master des Clusters hat unsere virtuelle IP-Adresse 192.168.200.1 auf dem internen Interface.
Auf der Spare-UTM: ⬤ Die Spare-UTM läuft als Hot-Standby im Backup-Modus im Hintergrund


Sollte der Status nicht sofort aktualisiert werden, kann das auch hier wieder über die Schaltfläche zum Aktualisieren manuell ausgelöst werden.

Beispiel Konfiguration: Externer Router

In diesem Beispiel wird eine Konfiguration mit einem externen Router beschrieben. Der Router ist das Gateway zum Internet. Eventuell wurde vom Provider ein öffentliches Netz zur Verfügung gestellt. In diesem Beispiel wird ein privates Netz verwendet. Die Vorgehensweise ist dann analog zum öffentlichen Netz. Hier werden nun zwei HA-Schnittstellen konfiguriert. Eine für die interne und eine für die externe Schnittstelle.


Netzwerkkonfiguration:

Erstes Mitglied des Clusters (UTM 1,  Master)
eth0: Externe IP Adresse (zum Router) 192.168.175.102/24
eth1: Interne IP-Adresse: 192.168.100.2/24
eth2: Hotwire-IP-Adresse:192.168.180.2/24

Zweites Mitglied des Clusters (UTM 2,  Spare)
eth0: Externe IP Adresse (zum Router) 192.168.175.103/24
eth1: Interne IP-Adresse:192.168.100.3/24
eth2: Hotwire-IP-Adresse:192.168.180.3/24

Die virtuellen IP-Adressen, die sich beide Mitglieder des Clusters teilen werden, sind die IP-Adressen 192.168.200.1/24 für die internen Schnittstellen und 192.168.175.101/24 für die extern Schnittstellen (zum Router).
Die virtuelle IP-Adresse 192.168.200.1 ist das Standard-Gateway des internen Netzwerks.

Inbetriebnahme der UTMs

Zur Inbetriebnahme des UTM-Clusters wird zunächst der Installationsassistent verwendet. Diese Einrichtung wird auf jeder UTM separat durchgeführt. Die Konfiguration der beiden UTMs unterscheidet sich bis zu diesem Zeitpunkt allein durch die interne und externe IP-Adresse. Im letzten Schritt des Installationsassistenten wird die Cluster-Lizenz ausgewählt. Nach Abschluss des Assistenten werden die UTMs neu gestartet.

Hotwire-Schnittstelle

Die UTMs werden nun physikalisch über die Hotwire-Schnittstelle verbunden. Diese muss auf den Maschinen den gleiche Port belegen, zum Beispiel LAN3/eth2.

Cluster Konfiguration

Cluster-Konfiguration
Master-UTM
Master-UTM
IP-Adresse der zukünftigen Hotwire-Schnittstelle
 Master → Netzwerk →Netzwerkkonfiguration eth2 → IP-Adressen
IP-Adressen: » ✕192.168.180.2/24 In der Clickbox wird die IP-Adresse der zukünftigen Hotwire-Schnittstelle hinzugefügt.
Im Beispiel bekommt LAN3/eth2 die IP-Adresse 192.168.180.2/24.		 UTM v11.8.7 Cluster Schnittstelle1.png
Abb.

Start des Cluster-Setup-Wizard unter  Master → Netzwerk →Clusterkonfiguration Cluster Assistent
Cluster Assistent Schritt 1
Hotwire Schnittstelle eth2: 192.168.180.2/24 Auf beiden Geräten muss die gleiche Schnitstelle gewählt werden! UTM v11.8.7 Cluster-Assistent Schritt1.png
Abb.: 1.5
Lokale IP‑Adresse: 192.168.180.2/24 IP-Adresse der Master-UTM
Remote IP‑Adresse: 192.168.180.3 IP-Adresse der Hotwire-Gegenstelle (Spare-UTM)

Cluster Assistent Schritt 2
Schnittstelle: eth1 Das zukünftige HA-Interface. Im Beispiel die interne Schnittstelle. UTM v11.8.7 Cluster-Assistent Schritt2.png
Abb.: 1.6
Virtuelle IP‑Adresse: 192.168.200.1/24 Die virtuelle IP-Adresse soll 192.168.200.1 sein. Es können auf einer HA-Schnittstelle auch mehrere virtuelle IP-Adressen liegen.
Bei Verwendung der UTM als DHCP-Server dürfen diese IP-Adressen müssen nicht in der gleichen Broadcast Domain der anderen IP-Adressen liegen.<span

class="mw-collapsible mw-collapsed icon hover" data-expandtext="" data-collapsetext="" id="mw-customcollapsible-hover" >Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren.
Nachdem der Wizard durchlaufen wurde, können auch weitere HA-Schnittstellen konfiguriert werden.


Cluster Assistent Schritt 3
Deaktivierte Schnittstellen während das Gerät im Backup Modus ist: Schnittstellen, die auf dem Backup-System, der Spare-UTM, nicht hochgefahren werden. In dieser Konfiguration ist das nicht erforderlich UTM v11.8.7 Cluster-Assistent Schritt3b.png
Abb.: 1.7

Cluster Assistent Schritt 4
Deaktivierte Anwendungen während das Gerät im Backup Modus ist:×Clientless VPN ×DHCP Server ×Greylisting Filter ×HTTP Proxy ×IPSEC ×L2TP VPN ×Mailrelay ×POP3 Proxy ×Routing Daemon ×SPF Filter ×SSL-VPN ×Spamfilter ×WLAN ServerDefault Per Default sind hier Anwendungen aufgeführt, die, sofern sich die Spare-UTM im Backup-Modus befindet, deaktiviert sein sollen UTM v11.8.7 Cluster-Assistent Schritt4.png
Abb.: 1.8

Cluster Assistent Schritt 5
Priorität Hoch Die Master-UTM erhält die Priorität »hoch«. UTM v11.8.7 Cluster-Assistent Schritt5.png
Abb.: 1.9
Passphrase: insecure Die Passphrase für die Kommunikation der beiden UTMs auf den HA-Schnittstellen (VRR Protokoll)
Cluster Assistent abschließen mit Fertig

 Master → Netzwerk →Clusterkonfiguration Schnittstellen
eth0 (Schnittstelle ist noch nicht für HA konfiguriert) IP-Adresse 192.168.175.102/24 UTM v11.8.7 Cluster Konfig-exr.png
Abb.: 1.10
eth1 Schnittstelle benutzt für High Availability Virtuelle IP-Adresse: 192.168.200.1/24
IP-Adresse: 192.168.100.2/24
eth2 Schnittstelle wird benutzt als Hotwire IP-Adresse 192.168.180.2/24
wan0 Schnittstelle ist beim Backup deaktiviert
Clusterstatus: ⬤ Der Clusterstatus zeigt noch keinen Zustand an, weil der Cluster noch nicht auf aktiv geschaltet ist.
Synchronisationsstatus: ⬤ Der Synchronisationsstatus steht auf rot, weil die Gegenstelle nicht erreichbar ist.


 Master → Netzwerk →Clusterkonfiguration Einstelungen
Lokaler SSH‑Schlüssel: Neuen lokalen SSH-Schlüssel generieren Im Reiter Einstellungen wird ein SSH Public Key erzeugt. UTM v11.8.7 Netzwerk Cluster-Config Einstellungen.png
Abb.: 1.11
ssh-rsa
AAAAB3Nz […] zE0SU=
root@master.cluster.local		 SSH-Schlüssel in die Zwischenablage kopieren
Spare-UTM
Spare UTM

Login über die IP-Adresse 192.168.180.3 auf das Web-Interface der Spare-UTM.
 Spare → Netzwerk →Clusterkonfiguration Schnittstellen
Name: eth2 eth2 Schnittstelle bearbeiten UTM v11.8.7 Netzwerk Cluster-Config UTM2 eth2.png
Abb.: 1.12
Verwendung: Schnittstelle als Hotwire benutzen Die Schnittstelle eth2 der Spare-UTM wird als Hotwire gekennzeichnet.
Lokale IP-Adresse: 192.168.180.3/24 IP-Adresse der Spare-UTM, die für Hotwire verwendet werden soll.
Remote IP-Adresse: 192.168.180.2 IP-Adresse der bereits konfigurierten Master-UTM, die als Hotwire angesprochen werden soll.

 Spare → Netzwerk →Clusterkonfiguration Einstellungen
Lokaler SSH‑Schlüssel: Neuen lokalen SSH-Schlüssel generieren SSH Public Key für die Spare-UTM erzeugen UTM v11.8.7 Netzwerk Cluster-Config Einstellungen-Spare.png
Abb.: 1.13
ssh-rsa
AAAAB3Nz […] Q1/k=
root@spare.cluster.local		 SSH-Schlüssel noch nicht in die Zwischenablage kopieren
SSH‑Schlüssel der Gegenstelle: ssh-rsa
AAAAB3Nz […] zE0SU=
root@master.cluster.local		 Public-SSH-Key der Master-UTM aus der Zwischenablage einfügen
Lokaler SSH‑Schlüssel: Jetzt den lokalen Public-SSh-Key der Spare-UTM in die Zwischenablage einfügen.

Wechsel auf  Master → Netzwerk →Clusterkonfiguration Einstellungen
SSH‑Schlüssel der Gegenstelle: ssh-rsa
AAAAB3Nz […] Q1/k=
root@spare.cluster.local		 Public-Key der Spare-UTM aus der Zwischenablage einfügen.
Auf der Master-UTM ist entspicht die Spare-UMT der Gegenstelle
  
Auf beiden Seiten sollte sich nun ein lokaler SSH Schlüssel und jeweils der SSH Schlüssel der Gegenstelle gefinden. Speichern der Einstellungen auf beiden UTMs in diesem Dialog durch Betätigung der Speichern Schaltfläche.
Synchronisationsstatus ⬤ Der Synchronisationsstatus sollte nun von rot zu orange wechseln. Das bedeutet, die beiden UTMs sehen sich über die Hotwire-Schnittstelle, jedoch ist die Konfiguration noch nicht synchronisiert.
Der Status wird Nur für interne Prüfzwecke aktualisiert. In dem Reiter Schnittstellen kann die Aktualisierung mit der Synchronisieren-Schaltfläche manuell ausgelöst werden.
 Master Konfiguration synchronisieren
Synchronisationsstatus ⬤ Wenn die Synchronisation erfolgreich abgeschlossen wurde, steht jetzt der Synchronisationsstatus auf grün. Die beiden UTMs sind abgeglichen.
Dieser Vorgang kann überprüft werden, indem auf der Spare-UTM eine Konfiguration aufgerufen wird, die im Master verändert wurde.

Die Cluster Priorität → Netzwerk →Clusterkonfiguration Einstellungen der Spare-UTM (Backup) wurde automatisch auf niedrig gestellt.
Würde die Priorität auf der jetzigen Spare-UTM auf hoch gestellt und von da aus auch die Konfiguration synchronisiert werden, würde die erste Maschine automatisch zum Spare degradiert und die vormals Spare-UTM zum Master.

Externe Schnittstelle auf HA-Betrieb konfigurieren
 Master → Netzwerk →Clusterkonfiguration eth0
Name: eth0 Externe Schnittstelle zum Router UTM v11.8.7 Cluster Konfig-exr eth0.png
Abb.: 1.26
Verwendung: Schnittstelle für High Availability benutzen Hochverfügbarkeit konfigurieren
Virtuelle IP-Adressen: » ✕192.168.175.101/24 Virtuelle IP-Adresse aus dem Netz des Routers
Speichern Konfiguration synchronisieren


Cluster aktivieren
 Master &  Spare → Netzwerk →Clusterkonfiguration Einstelungen
Cluster: Ein → Speichern Dieser Schritt muss auf beiden UTMs ausgeführt werden. UTM v11.8.7 Cluster Konfig-exr Ergebnis.png
Abb.: 1.14
Clusterstatus Auf der Master-UTM: ⬤ Der Cluster ist nun in Betrieb und der Master des Clusters hat unsere virtuelle IP-Adresse 192.168.200.1 auf dem internen Interface.
Auf der Spare-UTM: ⬤ Die Spare-UTM läuft als Hot-Standby im Backup-Modus im Hintergrund


NAT in der Cluster-Konfiguration

In beschrieben Konstellationen mit externen HA-Schnittstellen ist es Nur für interne Prüfzwecke die NAT Einstellungen anzupassen.

Die Ausfallzeit des Clusters wird reduziert, da keine neue IP-Adressen für die Kommunikation vergeben werden müssen.

  
Wir beziehen uns hier auf das Beispiel „Cluster Konfiguration: Externer Router“.

Die externe virtuelle IP-Adresse des Clusters ist in der selben Broadcast Domain wie die externen IP-Adressen der Schnittsellen.
Die Standardroute der UTMs zeigt auf den Router der die Internet Verbindung herstellt.

Externe IP UTM 1  Master 192.168.175.102/24
Externe IP UTM 2  Spare 192.168.175.103/24
Virtuelle IP Cluster  Cluster 192.168.175.101/24
IP des Routers 192.168.175.1/24

tcpdump auf master.cluster.local

Die UTM 1 ist der Master und besitzt die virtuelle IP-Adresse.
Setzt man nun einen ping aus dem internen Netz auf die IP-Adresse des Routers ab, sieht man nebenstehendes im tcpdump der UTM1 auf dem externen Interface.

Der Ping wird vom Client im Standard-Regelwerk nicht über die virtuelle IP-Adresse des Clusters geNATet, sondern über die dem Master eindeutige IP-Adresse 192.168.175.102.
Das kommt zustande, weil die eindeutige IP-Adresse die erste IP auf der Schnittstelle ist und der Router sich in der gleichen Broadcast Domain befindet. Wechselt der Cluster auf das Backup System, wird dort nicht mehr die IP-Adresse der externen Schnittstelle der  Master-UTM 192.168.175.102 stehen, sondern die IP-Adresse der externen Schnittstelle der  Spare-UTM 192.168.175.103.


UTM v11.8.7 Cluster Netzwerkobjekt-HA.png

Um das zu ändern wird im Menü  Master → Firewall →Portfilter im Reiter Netzwerkobjekte ein neues Objekt mit der virtuellen IP-Adresse auf dem Cluster Interface erstellt.

UTM v11.8.7 Cluster Regel.png
Anschließend wird im Reiter Portfilter die entsprechende HideNAT-Regel bearbeitet. In Beispiel die Regel Nummer 7.
UTM v11.8.7 Cluster Regel2.png
Das Objekt external-interface wird durch das gerade erstellte Objekt HA-Externe-IP ersetzt.














Speichern Schließen Regel aktualisieren  Master → Netzwerk →Clusterkonfiguration Konfiguration synchronisieren


UTM v11.8.7 Cluster tcpdump2.png

Wird der Ping-Test jetzt wiederholt, wird die Cluster-IP 192.168.175.101 verwendet.

Wenn der Ping auf den Router ohne Unterbrechung lief, ist dieser noch im Conntrack gespeichert, der Ping wird also noch über die falsche IP-Adresse geNATet.
Der Ping muss unterbrochen werden. Nach frühestens 30 Sekunden. kann der Ping dann neu gestartet werden.

Für NAT Einstellungen müssen immer eindeutige IP-Adressen in den Netzwerkobjekten benutzt werden, wenn das NAT über ein HA-Interface konfiguriert wird. Das gilt nicht nur für HideNATs sondern auch Portweiterleitungen bzw. Destination NATs.

Applikationen in der Cluster-Konfiguration

UTM v11.8.7 Cluster Mailrelay Allgemein.png

Anwendungen verwenden IP-Adressen, um sich bei anderen Servern zu authentifizieren.
Es ist bei einigen Anwendungen möglich, dafür die Cluster-IP festzulegen.
Beispielhaft wird das hier für das Mailrelay gezeigt.

Es sollen E-Mails über das Mailrelay der UTMs verschickt und empfangen werden.
Dazu wurden entsprechende PTR, A, MX Records und SPF Einträge in den TXT Records der Domain gemacht, die auf die externe virtuelle IP-Adresse des Clusters zeigen. Diese IP-Adressen müssen natürlich vom Router, der den Internetzugang in das eigene Netz weiterleitet, geroutet werden.
Damit das Mailrelay nun auch E-Mails über diese virtuelle IP verschickt, muss in der Applikation die ausgehende IP-Adresse korrekt eingestellt werden. In unserem Fall die virtuelle IP 192.168.175.101

Speichern
Anschließend muss die Cluster Konfiguration erneut synchronisiert werden.
→ Netzwerkkonfiguration →Clusterkonfiguration Konfiguration synchronisieren

Das Mailrelay kommuniziert jetzt immer mit der virtuellen IP-Adresse 192.168.175.101. Auch der interne Mailserver wird mit dieser IP als Absender kontaktiert. Das muss bei der Konfiguration des Mailservers berücksichtigt werden, sollte dieser nur SMTP-Verbindungen von bestimmten IPs akzeptieren.

Geänderter Inhalt



Kommunikation von Applikationen, die auf der Firewall laufen

Alle Applikationen, die von der Firewall selber eine Verbindung aufbauen, verwenden dafür (sofern nicht anders konfiguriert) die primären IPs der Schnittstellen. Sollten Management-IPs aus der gleichen Broadcast-Domäne verwendet werden, sind diese primären IPs nicht die virtuellen IP-Adressen.

Syslog

Syslog-Nachrichten werden von der Management-IP der Master verschickt, wenn diese die aktive Maschine im Cluster ist, und von der Management-IP der Spare wenn diese aktiviert wurde.



HTTP-Proxy

Sollte ein Parent-Proxy in Benutzung sein, der Verbindungen nur von einer bestimmten IP annimmt, muss diese im Menü → Anwendungen →HTTP-Proxy → Reiter Allgemein → Ausgehende IP-Adresse angegeben werden.


Mailrelay

s.o.

RADIUS-/LDAP-/AD-Anbindung

Sollte der Server nur Verbindungen von bestimmten IPs zulassen, müssen auf dem Ziel-Server jeweils die Management-IPs beider Geräte freigegeben werden.


IPSec

Alle IPSec-Verbindungen müssen in Phase 1 so angepasst werden, dass im Feld „Local Gateway“ eine der virtuellen IPs fest eingetragen ist.
→ VPN →IPSec → Phase 1 → Allgemein Local Gateway 192.168.175.101

SSL-VPN Server

In allen SSL-VPN-Server-Instanzen muss die Option Multihome aktiviert werden:
→ VPN →SSL-VPN Reiter Erweitert Multihome Ein


SSL-VPN Clients

Alle SSLVPN-Client-Instanzen müssen so angepasst werden, dass Sie eine der virtuellen IPs zum Verbindungsaufbau verwenden. Dazu sind folgende CLI-Befehle erforderlich:

CLI-Befehl Bedeutung
master.cluster.local> openvpn get Ermittelt die ID der SSLVPN-Verbindung
master.cluster.local> openvpn set id <ID> local_addr <VIRTUELLE-IP> local_port <FREIER-PORT> Setzt die lokale Adresse
master.cluster.local> appmgmt restart application openvpn Aktiviert die Einstellungen

Beispiel
master.cluster.local> openvpn get
[...]
master.cluster.local> openvpn set id <1> local_addr <192.168.175.101> local_port <20000>
master.cluster.local> appmgmt restart application openvpn		 Beispiel


POP3 Proxy

Der POP3-Proxy kommuniziert immer mit der Management-IP, sofern diese in der gleichen Broadcast-Domain wie das Default-Gateway ist. Dies ist bei der Beschränkung des Zugriffs auf POP3-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.


Clientless VPN

Verbindungen zu RDP/VNC-Servern werden immer mit den Management-IPs aufgebaut. Dies ist bei der Beschränkung des Zugriffs auf RDP/VNC-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.


Nameserver

Verbindungen zu DNS-Servern werden immer mit den Management-IPs aufgebaut. Dies ist bei der Beschränkung des Zugriffs auf DNS-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.

CLI Befehle

Im folgenden werden Befehle für die Securepoint CLI beschrieben.

CLI Befehl Ausgabe Beschreibung
cluster info
cluster_state
∣master
 backup
 none
 Der Cluster State gibt an wer im Cluster gerade Master oder Backup ist oder ob der Cluster überhaupt aktiv ist. Die Ausgabe bezieht sich immer auf die Maschine, auf der dieser Befehl ausführt wird.
sync_state
∣synchronized
 pending
 error
 Im welchen Zustand befindet sich die Konfiguration. Dabei bedeutet „synchronized“, das sie auf beiden UTMS des Clusters gleich ist. Der Zustand „pending“ bedeutet, die UTMs haben einen unterschiedlichen Stand. In beiden Fällen können die Mitglieder miteinander kommunizieren. Der Zustand „error“ weist darauf hin das sie keine Daten austauschen können. Das könnte der Fall sein, wenn kein Hotwire Interface konfiguriert ist, die Verkabelung nicht korrekt ist, die SSH Keys nicht ausgetauscht wurden, oder falsche SSH Keys verwendet werden.
hotwire_dev
∣ethx
 Gibt das Interface an, auf dem das Hotwire Interface konfiguriert ist.
system config save name <Name der Konfiguration> Falls in der CLI eine Konfigurationsänderung durchgeführt wurde, muss diese erst lokal gespeichert werdn. Erst dann wird eine Synchronisierung des Clusters übertragen.
system config synchronize Durch diesen Befehl kann die Konfiguration über die Hotwire Schnittstelle an den Cluster Partner übertragen werden. Dabei wird die Konfiguration von der UTM verwendet, auf der der Befehl ausgeführt wird.
extc value get application "securepoint_firewall" variable "UPDATE_TRIGGER_DELAY" Value ∣2 Zeigt den Delay in Sekunden an, bevor im Fehlerfall, von Master auf Backup geschaltet wird. Der Standardwert ist 2 Sekunden.
extc value set application "securepoint_firewall" variable "UPDATE_TRIGGER_DELAY" value 2 OK Verändert den Delay, für den Fehlerfall, das von Master auf Backup geschaltet wird. Der Standardwert ist 2 Sekunden und sollte nicht niedriger eingestellt werden. Falls die Appliances im Cluster eine hohe Grundlast haben sollten, kann der Wert höher eingestellt werden. Die Einstellung ist sofort aktiv und kann via system config synchronize auf den Partner übertragen werden.

Einschränkungen

DHCP-Client mit HA-Schnittstelle kombinieren

Konfigurieren sie kein HA Interface auf einem Ethernet oder VLAN Interface auf dem sie DHCP Client konfiguriert haben, also die UTM auf dem Interface eine IP-Adresse dynamisch zugewiesen bekommt. Sollte der DHCP Server nicht erreichbar sein nachdem sie die UTM gestartet haben und ist sie in dem Augenblick auch der Master im Cluster, wird die virtuelle IP-Adresse vom Interface entfernt sobald der DHCP Server wieder erreichbar ist und die UTM eine neue IP-Adresse vom DHCP Server empfängt.

DHCP-Server in einer Clusterumgebung

Bei Verwendung der UTM als DHCP-Server dürfen diese IP-Adressen nicht in der gleichen Broadcast Domain der anderen IP-Adressen liegen.
Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren. Siehe: Cluster Konfiguration Schritt 2

Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/NET/Cluster&oldid=66327“