|
|
| (20 dazwischenliegende Versionen von 3 Benutzern werden nicht angezeigt) |
| Zeile 1: |
Zeile 1: |
| {{var | display | | {{Lang}} |
| | Cluster
| |
| | Cluster }}
| |
| {{var | headline
| |
| | Securepoint Cluster Konfiguration
| |
| | Securepoint Cluster Configuration }}
| |
| {{var | neu--dhcp
| |
| | Erweiterte Hinweise zu DHCP
| |
| | Extended notes on DHCP }}
| |
| {{var | neu--anpassung
| |
| | Artikelanpassung
| |
| | Article adaptation }}
| |
| {{var | Wichtige Information
| |
| | Wichtige Information
| |
| | Important information }}
| |
| {{var | Aktuelle Software
| |
| | Aktuelle Software
| |
| | Current software }}
| |
| {{var | aktuell--desc
| |
| | Es sollte immer die neueste Version der Software installiert werden. Nur in der aktuellen Version sind die neusten Funktionen, Sicherheits-Erweiterungen und Fehlerkorrekturen enthalten.
| |
| | The latest version of the software should always be installed. Only the latest version contains the latest features, security enhancements and error corrections. }}
| |
| {{var | Einsatzgebiete
| |
| | Einsatzgebiete
| |
| | Fields of application }}
| |
| {{var | Einsatzgebiete--desc
| |
| | Die UTM wird, durch die Umwandlung in einen Hot-Standy UTM-Cluster, aufgewertet und sichert geschäftskritische Prozesse gegen den Ausfall einer UTM ab. Securepoint stellt dazu einen Aktiv-/Passiv-Cluster zur Verfügung. Die UTMs innerhalb des Clusters überwachen sich gegenseitig und schalten bei Bedarf automatisch auf das Gerät mit dem besten Status um. Ein Eingriff des Administrators ist nicht notwendig.
| |
| | The UTM is upgraded by converting it into a Hot-Standy UTM cluster and protects business-critical processes against the failure of a UTM. Securepoint provides an active/passive cluster for this purpose. The UTMs within the cluster monitor each other and automatically switch to the device with the best status if required. An intervention of the administrator is not necessary. }}
| |
| {{var | Einsatzgebiete--bild
| |
| | Cluster-01.jpg
| |
| | Cluster-01.jpg }}
| |
|
| |
|
| {{var | Abb | | {{#vardefine:headerIcon|spicon-utm}} |
| | Abb.:
| |
| | Fig. }}
| |
|
| |
|
| {{var | Einrichtung | | {{var | display |
| | Einrichtung
| | | Cluster |
| | Establishment }}
| | | Cluster }} |
| | | {{var | head |
| {{var | Einrichtung--desc | | | Securepoint Cluster Konfiguration - Best Practice |
| | Bei der Einrichtung des UTM-Clusters werden zwei UTMs mit identischer Firmware über eine Hotwire-Schnittstelle verbunden. Die Installation mit dem „Cluster Setup Wizard“ wird auf der ''Ursprungs-UTM'' ausgeführt, die im dann erstellten Cluster der MASTER sein wird. Mit dieser UTM wird die Synchronisierung der Konfiguration durchgeführt. Auf der ''Spare-UTM'', die im Cluster das BACKUP sein wird, werden bei der Installation die Hotwire-Schnittstelle definiert sowie ein SSH-Schlüssel erzeugt. Auch wird auf der Spare der SSH-Schlüssel des MASTER eingetragen.<br>Die aktive UTM im Cluster, hat die höhere Priorität und wird als MASTER bezeichnet.<br>Die UTM mit der niedrigeren Priorität, die passive UTM, ist das BACKUP.
| | | Securepoint Cluster Configuration - Best Practice }} |
| | When setting up the UTM cluster, two UTMs with identical firmware are connected via a Hotwire interface. The installation with the "Cluster Setup Wizard" is performed on the ''original UTM'', which will be the MASTER in the cluster then created. This UTM will be used to synchronize the configuration. On the ''spare UTM'', which will be the BACKUP in the cluster, the Hotwire interface is defined and an SSH key is generated during installation. The SSH key of the MASTER is also entered on the spare UTM.<br>The active UTM in the cluster, has the higher priority and is called the MASTER.<br>The UTM with the lower priority, the passive UTM, is the BACKUP. }}
| | {{var | Netzwerk |
| | | | Netzwerk |
| {{var | Voraussetzungen
| | | Network }} |
| | Voraussetzungen
| | {{var | Clusterkonfiguration |
| | Requirements }}
| | | Clusterkonfiguration |
| | | | Cluster configuration }} |
| {{var | Voraussetzungen--desc
| | {{var | Aktuelle Software |
| | Zum Cluster-Betrieb sind folgende Voraussetzungen notwendig:
| | | Aktuelle Software |
| | The following requirements are necessary for cluster operation: }}
| | | Current software }} |
| | | {{var | aktuell--desc |
| {{var | Voraussetzungen--cluster-lizenz
| | | Es sollte immer die neueste Version der Software installiert werden. <br>Nur in der aktuellen Version sind die neusten Funktionen, Sicherheits-Erweiterungen und Fehlerkorrekturen enthalten. |
| | '''Eine Cluster-Lizenz'''<br><p>Zur Konfiguration und den Betrieb des UTM-Clusters wird eine gültige Cluster-Lizenz benötigt, die im [https://my.securepoint.de/index/login Securepoint Reseller Portal] beantragt werden kann.</p><p>Endkunden wenden sich bitte an Ihren [https://www.securepoint.de/partner/partnerprogramm.html autorisierten Securepoint Reseller.]</p><p>{{Hinweis | !! Die Menüpunkte zur Cluster-Konfiguration sind sichtbar, sobald eine Cluster-Lizenz eingespielt ist.|gelb|c=graul}}<p>
| | | The latest version of the software should always be installed. <br>Only the latest version contains the latest features, security enhancements and error corrections. }} |
| | '''A cluster license'''<br><p>To configure and operate the UTM cluster, a valid cluster license is required, which can be applied for in the [https://my.securepoint.de/index/login Securepoint Reseller Portal].</p><p>End customers are requested to contact their [https://www.securepoint.de/partner/partnerprogramm.html authorized Securepoint Reseller].</p><p>{{Hinweis | !! The menu items for cluster configuration are visible as soon as a cluster license is installed. |gelb|c=graul}}<p> }}
| | {{var | Einsatzgebiete |
| | | | Einsatzgebiete |
| {{var | Voraussetzungen--hardware
| | | Fields of application }} |
| | ''' Zwei identische Appliances mit mindestens 3 Ethernet Schnittstellen und gleicher Firmware'''<br><p> Im kleinsten Szenario (siehe Abbildung 1.1) sind eine Eingangs- Schnittstelle (internes LAN) und eine Ausgangs- Schnittstelle (externes LAN) sowie die dritte freie Schnittstelle vorhanden. Diese, im Folgenden auch als Hotwire-Schnittstelle bezeichnet, wird für den Abgleich der Konfiguration und das Connection-Tracking benötigt. Sie kann keine weitere Netzwerkfunktion übernehmen.</p> | | {{var | Einsatzgebiete--desc |
| | '''Two identical appliances with at least 3 Ethernet interfaces and the same firmware'''<br><p>In the smallest scenario (see Figure 1.1) there is one input interface (internal LAN) and one output interface (external LAN) as well as the third free interface. This interface, also referred to as the Hotwire interface in the following, is required for configuration adjustment and connection tracking. It cannot take over any other network function.</p> }}
| | | Durch Einsatz der UTM in einem Hot-Standby-Cluster kann eine Hochverfügbarkeit der UTM gewährleistet werden.<br> Die UTMs innerhalb des Clusters überwachen sich gegenseitig und schalten bei Bedarf automatisch auf das Gerät mit dem besten Status um. Ein Eingriff des Administrators ist nicht notwendig. |
| {{var | Voraussetzungen--software
| | | High availability of the UTM can be ensured by using the UTM in a hot standby cluster.<br> The UTMs within the cluster monitor each other and, if necessary, automatically switch to the device with the best status. Intervention by the administrator is not necessary. }} |
| | '''Die eingesetzten Switches und Router unterstützen ''gratuitous ARP'''''<br><p>Kommt es im UTM-Cluster zum Master-/Backup-Wechsel, sendet die jetzt aktive UTM ''gratuitous ARP'' Pakete an ihre Umgebung, um die neuen MAC-Adresse bekannt zu geben.<br>Unterstützen die Switches bzw. Router diese Funktion nicht, können sie nur verzögert über die aktive UTM kommunizieren.
| | {{var | Abb |
| | '''The used switches and routers support ''gratuitous ARP'''''< br><p> If there is a master/backup change in the UTM cluster, the now active UTM sends '' gratuitous ARP' ' packets to its environment to announce the new MAC address.<br> If the switches or routers do not support this function, they can only communicate via the active UTM with a delay. }} | | | Abb.: |
| {{var | funktionsweise--bild
| | | Fig.: }} |
| | UTM11_BP_Cluster_pic5.png
| | {{var | Einrichtung |
| | UTM11_BP_Cluster_pic5.png }}
| | | Einrichtung |
| {{var | funktionsweise
| | | Installation }} |
| | Funktionsweise des Clusters
| | {{var | Einrichtung--desc |
| | Functionality of the cluster }}
| | | Bei der Einrichtung des UTM-Clusters werden zwei UTMs mit identischer Firmware über eine Hotwire-Schnittstelle verbunden. Die Installation mit dem „Cluster Setup Wizard“ wird auf der ''Ursprungs-UTM'' ausgeführt, die im dann erstellten Cluster der MASTER sein wird. Mit dieser UTM wird die Synchronisierung der Konfiguration durchgeführt. Auf der ''Spare-UTM'', die im Cluster das BACKUP sein wird, werden bei der Installation die Hotwire-Schnittstelle definiert sowie ein SSH-Schlüssel erzeugt. Auch wird auf der Spare der SSH-Schlüssel des MASTER eingetragen.<br>Die aktive UTM im Cluster, hat die höhere Priorität und wird als MASTER bezeichnet.<br> Die UTM mit der niedrigeren Priorität, die passive UTM, ist das BACKUP. |
| {{var | funktionsweise--desc | | | When setting up the UTM cluster, two UTMs with identical firmware are connected via a Hotwire interface. The installation with the "Cluster Setup Wizard" is performed on the ''Original UTM'', which will be the MASTER in the newly created cluster. This UTM will be used to synchronize the configuration. On the ''Spare UTM'', which will be the BACKUP in the cluster, the Hotwire interface is defined and an SSH key is generated during installation. The SSH key of the MASTER is also entered on the spare UTM.<br> The active UTM in the cluster, has the higher priority and is called the MASTER.<br> The UTM with the lower priority, the passive UTM, is the BACKUP. }} |
| | Der Cluster verwendet '''eindeutige IP- und MAC-Adressen''' für die beiden Mitglieder des Clusters sowie '''virtuelle IP-Adressen''' für den Cluster selber. Die virtuellen IP-Adressen sind allein auf dem aktiven Mitglied des UTM-Clusters aktiv. Fällt das aktive Mitglied des Clusters ganz oder teilweise aus, so wechseln die virtuellen IP-Adressen zum zweiten Mitglied des Clusters.<br>Für die Clients und Server in einer Clusterkonfiguration, ist die virtuelle IP-Adresse der Kommunikationspartner im Routing (also zum Beispiel das Standard Gateway, siehe Abb. 1.2).
| | {{var | Voraussetzungen |
| | The cluster uses '''unique IP and MAC addresses''' for the two members of the cluster and '''virtual IP addresses''' for the cluster itself. The virtual IP addresses are only active on the active member of the UTM cluster. If the active member of the cluster fails completely or partially, the virtual IP addresses change to the second member of the cluster.<br>For the clients and servers in a cluster configuration, the virtual IP address is the communication partner in the routing (e.g. the standard gateway, see Fig. 1.2). }}
| | | Voraussetzungen |
| {{var | cluster-protokoll | | | Requirements }} |
| | Das Cluster VRR Protokoll
| | {{var | Voraussetzungen--desc |
| | The Cluster VRR Protocol }}
| | | Zum Cluster-Betrieb sind folgende Voraussetzungen notwendig: |
| {{var | cluster-protokoll--desc | | | The following requirements are necessary for cluster operation: }} |
| | <p>VRRP (Virtual Router Redundancy Protocol) ist das Kommunikationsprotokoll des Clusters. Es ist einzig auf den Schnittstellen aktiv, die als {{hover|HA-|High- Availibility}}Schnittstelle konfiguriert sind. Über dieses Protokoll versendet der Master des UTM-Clusters Datenpakete an das Backup. Empfängt das Backup keine Datenpakete, so stuft es sich zum Master hoch.</p><p>Mit Hilfe von '''tcpdump''' kann das Protokoll auf einer HA-Schnittstelle sichtbar gemacht werden (siehe Abb.)</p><p>Es sind keine speziellen Firewall Regeln notwendig, um die Kommunikation mit dem VRR-Protokoll zu ermöglichen.</p> | | {{var | Voraussetzungen--cluster-lizenz |
| | <p>VRRP (Virtual Router Redundancy Protocol) is the communication protocol of the cluster. It is only active on interfaces that are configured as {{hover|HA-|High- Availibility}} interfaces. The master of the UTM cluster sends data packets to the backup via this protocol. If the backup does not receive any data packets, it upgrades itself to the master.</p><p> Using '''tcpdump''' the protocol can be made visible on a HA interface (see figure)</p><p>No special firewall rules are required to enable communication with the VRR protocol.</p> }} | | | '''Eine Cluster-< u>Master</u>- Lizenz''' <br>'' 'Eine Cluster-<u>Spare</u>-Lizenz'''<br> <p> Zur Konfiguration und den Betrieb des UTM- Clusters wird eine gültige Cluster- Lizenz benötigt, die '''zwei unterschiedliche Lizenzen''' beinhaltet und die im [https://my. securepoint. de/login Securepoint Reseller Portal] beantragt werden kann.</p> <p>Endkunden wenden sich bitte an Ihren [https://www.securepoint.de/partner/partnerprogramm.html autorisierten Securepoint Reseller.]</p> |
| {{var | Umschalten | | | '''One Cluster-<u>Master</u> license'''<br>'''One cluster <u>Spare</u> license'''<br> <p>To configure and operate the UTM cluster, a valid cluster license is required, which contains '''two different licenses''' and which can be applied for in the [https://my.securepoint.de/login Securepoint Reseller Portal].</p> <p>End customers should contact their [https://www.securepoint.de/partner/partnerprogramm.html authorized Securepoint reseller].</p> }} |
| | Umschalten des Clusters
| | {{var | Voraussetzungen--cluster-lizenz--Hinweis |
| | Switching the cluster }}
| | | Die Menüpunkte zur Cluster-Konfiguration sind sichtbar, sobald eine Cluster-Lizenz eingespielt ist. |
| {{var | Umschalten--desc | | | The menu items for cluster configuration are visible as soon as a cluster license is installed. }} |
| | Folgende Zustände bzw. Ereignisse lösen ein Umschalten innerhalb des Clusters aus:
| | {{var | Voraussetzungen--hardware |
| | | '''Zwei identische Appliances<sup>*</sup> mit mindestens 3 Ethernet Schnittstellen und gleicher Firmware'''<br> <p>Im kleinsten Szenario sind eine Eingangs-Schnittstelle (internes LAN) und eine Ausgangs-Schnittstelle (externes LAN) sowie die dritte freie Schnittstelle vorhanden. Diese, im Folgenden auch als Hotwire-Schnittstelle bezeichnet, wird für den Abgleich der Konfiguration und das Connection-Tracking benötigt. Sie kann keine weitere Netzwerkfunktion übernehmen.< /p> <p> <small>* Der Betrieb einer RC300 G3 und einer RC340 G3 in einem gemeinsamen Cluster ist freigegeben. Andere Konstellationen werden nicht unterstützt.</small> |
| | | '''Two identical appliances<sup>*</sup> with at least 3 Ethernet interfaces and the same firmware'''<br> <p>In the smallest scenario there is one input interface (internal LAN) and one output interface (external LAN) as well as the third free interface. This interface, also referred to as the Hotwire interface in the following, is required for configuration adjustment and connection tracking. It cannot take over any other network function.</p> }} |
| | {{var | Voraussetzungen--software |
| | | '''Die eingesetzten Switches und Router unterstützen ''gratuitous ARP'''''<br> <p>Kommt es im UTM-Cluster zum Master-/Backup-Wechsel, sendet die jetzt aktive UTM ''gratuitous ARP'' Pakete an ihre Umgebung, um die neuen MAC-Adresse bekannt zu geben.<br> Unterstützen die Switches bzw. Router diese Funktion nicht, können sie nur verzögert über die aktive UTM kommunizieren. |
| | | '''The used switches and routers support ''gratuitous ARP'''''<br> <p>If there is a master/backup change in the UTM cluster, the now active UTM sends ''gratuitous ARP'' packets to its environment to announce the new MAC address.<br> If the switches or routers do not support this function, they can only communicate via the active UTM with a delay. }} |
| | {{var | funktionsweise |
| | | Funktionsweise des Clusters |
| | | Functionality of the cluster }} |
| | {{var | funktionsweise--desc |
| | | |
| | * Der Cluster verwendet '''eindeutige IP- und MAC-Adressen''' für die beiden Mitglieder des Clusters sowie '''virtuelle IP-Adressen''' für den Cluster selber |
| | * Die virtuellen IP-Adressen sind allein auf dem aktiven Mitglied des UTM-Clusters aktiv |
| | * Fällt das aktive Mitglied des Clusters ganz oder teilweise aus, so wechseln die virtuellen IP-Adressen zum zweiten Mitglied des Clusters |
| | * Für die Clients und Server in einer Clusterkonfiguration, ist die virtuelle IP-Adresse der Kommunikationspartner im Routing <!-- (also zum Beispiel das Standard Gateway, siehe Abb. 1.2)--> |
| | | The cluster uses '''unique IP and MAC addresses''' for the two members of the cluster and '''virtual IP addresses''' for the cluster itself. The virtual IP addresses are only active on the active member of the UTM cluster. If the active member of the cluster fails completely or partially, the virtual IP addresses change to the second member of the cluster.<br> For the clients and servers in a cluster configuration, the virtual IP address is the communication partner in the routing (e.g. the standard gateway, see Fig. 1.2). }} |
| | {{var | cluster-protokoll |
| | | Das Cluster VRR Protokoll |
| | | The Cluster VRR Protocol }} |
| | {{var | cluster-protokoll--desc |
| | | <p>VRRP (Virtual Router Redundancy Protocol) ist das Kommunikationsprotokoll des Clusters. Es ist einzig auf den Schnittstellen aktiv, die als {{hover|HA-|High- Availability}}Schnittstelle konfiguriert sind. Über dieses Protokoll versendet der Master des UTM-Clusters Datenpakete an das Backup. Empfängt das Backup keine Datenpakete, so stuft es sich zum Master hoch.</p> <p>Mit Hilfe von '''tcpdump''' kann das Protokoll auf einer HA-Schnittstelle sichtbar gemacht werden (siehe Abb.)</p> <p>Es sind keine speziellen Firewall Regeln notwendig, um die Kommunikation mit dem VRR-Protokoll zu ermöglichen.</p> |
| | | <p>VRRP (Virtual Router Redundancy Protocol) is the communication protocol of the cluster. It is only active on interfaces that are configured as {{hover|HA-|High- Availability}} interfaces. The master of the UTM cluster sends data packets to the backup via this protocol. If the backup does not receive any data packets, it upgrades itself to the master.</p> <p> Using '''tcpdump''' the protocol can be made visible on a HA interface (see figure)</p> <p>No special firewall rules are required to enable communication with the VRR protocol.</p> }} |
| | {{var | Umschalten |
| | | Umschalten des Clusters |
| | | Switching the cluster }} |
| | {{var | Umschalten--desc |
| | | Folgende Zustände bzw. Ereignisse lösen ein Umschalten innerhalb des Clusters aus: |
| * Das aktive Mitglied eines Clusters wird neu gestartet oder ganz heruntergefahren. | | * Das aktive Mitglied eines Clusters wird neu gestartet oder ganz heruntergefahren. |
| * Eine oder mehrere HA-Schnittstellen haben keinen physikalischen Link mehr. | | * Eine oder mehrere HA-Schnittstellen haben keinen physikalischen Link mehr. |
| * Der Link einer HA-Schnittstelle ist aktiv, aber aufgrund eines defekten oder falsch konfigurierten Switches kommen die VRRP Pakete nicht beim Cluster Partner an. | | * Der Link einer HA-Schnittstelle ist aktiv, aber aufgrund eines defekten oder falsch konfigurierten Switches kommen die VRRP Pakete nicht beim Cluster Partner an. |
| * Die Cluster Funktion wird auf dem aktiven Cluster-Partner durch den Administrator deaktiviert.<br /> | | * Die Cluster Funktion wird auf dem aktiven Cluster-Partner durch den Administrator deaktiviert.<br> |
| Sind mehr als zwei HA-Schnittstellen aktiviert, besteht im Fehlerfall die Möglichkeit, dass eine unterschiedliche Anzahl von HA-Schnittstellen nicht mehr kommunizieren können. In diesem Fall wird die UTM das aktive Mitglied werden, auf der die meisten Schnittstellen einen Link haben, solange sich die UTMs über wenigstens einer HA-Schnittstelle noch sehen. Sehen sich die UTMs auf keiner Schnittstelle mehr, gehen beide davon aus, dass das zweite Mitglied des Clusters nicht mehr vorhanden ist und beide werden zum Master. | | Sind mehr als zwei HA-Schnittstellen aktiviert, besteht im Fehlerfall die Möglichkeit, dass eine unterschiedliche Anzahl von HA-Schnittstellen nicht mehr kommunizieren können. In diesem Fall wird die UTM das aktive Mitglied werden, auf der die meisten Schnittstellen einen Link haben, solange sich die UTMs über wenigstens einer HA-Schnittstelle noch sehen. Sehen sich die UTMs auf keiner Schnittstelle mehr, gehen beide davon aus, dass das zweite Mitglied des Clusters nicht mehr vorhanden ist und beide werden zum Master. |
| | The following states or events trigger a switchover within the cluster:
| | | The following states or events trigger a switchover within the cluster: |
| * The active member of a cluster is restarted or shut down completely. | | * The active member of a cluster is restarted or shut down completely. |
| * One or more HA interfaces no longer have a physical link. | | * One or more HA interfaces no longer have a physical link. |
| * The link of an HA interface is active, but due to a defective or incorrectly configured switch, the VRRP packets do not arrive at the cluster partner. | | * The link of an HA interface is active, but due to a defective or incorrectly configured switch, the VRRP packets do not arrive at the cluster partner. |
| * The cluster function is deactivated on the active cluster partner by the administrator.<br /> | | * The cluster function is deactivated on the active cluster partner by the administrator.<br> |
| If more than two HA interfaces are activated, it is possible that a different number of HA interfaces may no longer be able to communicate in the event of an error. In this case, the UTM on which most interfaces have a link will become the active member as long as the UTMs still see each other via at least one HA interface. If the UTMs no longer see each other on any interface, both assume that the second member of the cluster no longer exists and both become the master. }} | | If more than two HA interfaces are activated, it is possible that a different number of HA interfaces may no longer be able to communicate in the event of an error. In this case, the UTM on which most interfaces have a link will become the active member as long as the UTMs still see each other via at least one HA interface. If the UTMs no longer see each other on any interface, both assume that the second member of the cluster no longer exists and both become the master. }} |
| {{var | Umschalten--tabelle
| | {{var | Umschalten--tabelle |
| | Tabelle, Verhalten im Cluster, Beispiel zwei HA-Schnittstellen:
| | | Tabelle, Verhalten im Cluster, Beispiel zwei HA-Schnittstellen: |
| | Table, behavior in the cluster, example two HA interfaces: }}
| | | Table, behavior in the cluster, example two HA interfaces: }} |
| {{var | HA-Schnittstelle
| | {{var | HA-Schnittstelle |
| | HA-Schnittstelle
| | | HA-Schnittstelle |
| | HA interface }}
| | | HA interface }} |
| {{var | Aktiv
| | {{var | Aktiv |
| | Aktiv
| | | Aktiv |
| | Active }}
| | | Active }} |
| {{var | Passiv
| | {{var | Passiv |
| | Passiv
| | | Passiv |
| | Passive }}
| | | Passive }} |
| {{var | Umschalten--tabelle--desc
| | {{var | Umschalten--tabelle--desc |
| | Hierbei ist zu beachten, dass UTM-1 eine höhere Priorität als UTM-2 hat. Ist der Zustand in der Tabelle aktiv und als rot gekennzeichnet bedeutet das, dass sich die beiden Mitglieder des Clusters nicht mehr sehen und davon ausgehen, dass der jeweils andere Partner nicht mehr vorhanden ist. Beide Mitglieder des Clusters sind dann aktiv. Eine Netzwerkkommunikation ist dann allerdings generell nicht mehr möglich, da das Problem in der Umgebung liegt.
| | | Hierbei ist zu beachten, dass UTM-1 eine höhere Priorität als UTM-2 hat. Ist der Zustand in der Tabelle aktiv und als rot gekennzeichnet bedeutet das, dass sich die beiden Mitglieder des Clusters nicht mehr sehen und davon ausgehen, dass der jeweils andere Partner nicht mehr vorhanden ist. Beide Mitglieder des Clusters sind dann aktiv. Eine Netzwerkkommunikation ist dann allerdings generell nicht mehr möglich, da das Problem in der Umgebung liegt. |
| | Please note that UTM-1 has a higher priority than UTM-2. If the state in the table is active and marked as red, this means that the two members of the cluster no longer see each other and assume that the respective other partner is no longer present. Both members of the cluster are then active. However, network communication is then generally no longer possible because the problem is in the environment. }}
| | | Please note that UTM-1 has a higher priority than UTM-2. If the state in the table is active and marked as red, this means that the two members of the cluster no longer see each other and assume that the respective other partner is no longer present. Both members of the cluster are then active. However, network communication is then generally no longer possible because the problem is in the environment. }} |
| {{var | Fallback
| | {{var | Fallback |
| | Fallback im Cluster
| | | Fallback im Cluster |
| | Fallback in a cluster }}
| | | Fallback in a cluster }} |
| {{var | Fallback--desc
| | {{var | 1=Fallback--desc |
| | Ist gleichzeitig ein Fallback konfiguriert und ein fehlgeschlagener Ping-Check löst das Umschalten auf die <i class="host utm">Spare</i> aus und diese registriert ebenfalls einen fehlgeschlagenen Ping-Check, wird sie den Master wieder an den ursprünglichen <
| | | 2=Ist gleichzeitig ein Fallback konfiguriert und ein fehlgeschlagener Ping-Check löst das Umschalten auf die <i class="host utm">Spare</i> aus und diese registriert ebenfalls einen fehlgeschlagenen Ping-Check, wird sie den Master wieder an den ursprünglichen <i class="host utm">Master</i> zurückgeben. <br>Hier entscheidet nun die Priorität, da beide Maschinen gleichwertig beeinträchtigt sind und das Fallback der <i class="host utm">Master</i> wird aktiv. |
| | | 3=If a fallback is configured at the same time and a failed ping check triggers the switch to the <i class="host utm">Spare</i> and this also registers a failed ping check, it will return the master to the original <i class="host utm">Master</i>. <br> Here now the priority decides, because both machines are equally affected and the fallback of the <i class="host utm">Master</i> becomes active. }} |
| | {{var | Hotwire-Schnittstelle |
| | | Hotwire Schnittstelle |
| | | Hotwire interface: }} |
| | {{var | Hotwire-Schnittstelle--desc |
| | | Die Hotwire-Schnittstelle ist eine exklusive Schnittstelle, die nur zum Synchronisieren der Konfiguration der Cluster-Mitglieder und Abgleich der laufenden Verbindungen (Connection-Tracking) verwendet wird. Diese Schnittstelle hat ''exklusiv'' diese Aufgabe. Bei der Auswahl der Appliances muss darauf geachtet werden, daß für das Hotwire-Netz jeweils eine Schnittstelle frei sein muss.<br>Für die Synchronisation der Konfiguration wird das SSH-Protokoll (TCP/22) verwendet. Das Connection-Tracking wird über den Port 3780 (UDP) abgeglichen. Ist eine Ethernet-Schnittstelle als Hotwire gekennzeichnet, werden die Regeln für die Kommunikation automatisch generiert. Für die SSH-Verbindung müssen öffentliche Schlüssel zwischen den Mitgliedern des UTM-Clusters ausgetauscht werden. Der Abgleich der Konfiguration kann in beide Richtungen zwischen den Mitgliedern des Clusters erfolgen. Das Connection-Tracking wird immer automatisch vom Master im Cluster zum Backup übertragen (Abb. 1.3). |
| | | The Hotwire interface is an exclusive interface that is only used to synchronize the configuration of the cluster members and |
|
| |
|
| {{var | Netzwerkkonfiguration--extern--virtuelle-ip
| | ---- |
| | Die virtuellen IP-Adressen, die sich beide Mitglieder des Clusters teilen werden, sind die IP-Adressen 192.168.200.1/24 für die internen Schnittstellen und 192.168.175.101/24 für die extern Schnittstellen (zum Router).<br>Die virtuelle IP-Adresse 192.168.200.1 ist das Standard-Gateway des internen Netzwerks.
| | {{var | |
| | The virtual IP addresses that both members of the cluster will share are the IP addresses 192.168.200.1/24 for the internal interfaces and 192.168.175.101/24 for the external interfaces (to the router).<br>The virtual IP address 192.168.200.1 is the default gateway of the internal network. }}
| | | |
| {{var | inbetriebnahme--extern--desc
| | | }} |
| | Zur Inbetriebnahme des UTM-Clusters wird zunächst der Installationsassistent verwendet. Diese Einrichtung wird auf jeder UTM separat durchgeführt. Die Konfiguration der beiden UTMs unterscheidet sich bis zu diesem Zeitpunkt allein durch die interne und externe IP-Adresse. Im letzten Schritt des Installationsassistenten wird die Cluster-Lizenz ausgewählt. Nach Abschluss des Assistenten werden die UTMs neu gestartet.
| |
| | To start up the UTM cluster, the installation wizard is used first. This setup is performed separately on each UTM. Up to this point, the configuration of the two UTMs differs only in the internal and external IP address. In the last step of the installation wizard, the cluster license is selected. After the wizard is completed, the UTMs are restarted. }}
| |
| {{var | wizard3--deaktivierte-non--desc
| |
| | Schnittstellen, die auf dem Backup-System, der Spare-UTM, '''nicht''' hochgefahren werden. In dieser Konfiguration ist das '''nicht erforderlich'''
| |
| | Interfaces that are '''not''' booted on the backup system, the spare UTM. In this configuration, that is '''not required''' }}
| |
| {{var | wizard3b--bild
| |
| | UTM_v11.8.7_Cluster-Assistent_Schritt3b.png
| |
| | UTM_v11.8.7_Cluster-Assistent_Schritt3b-en.png }}
| |
| {{var | cluster-schnittstellen--eth0
| |
| | (Schnittstelle ist noch nicht für HA konfiguriert)
| |
| | (Interface is not yet configured for HA) }}
| |
| {{var | cluster-schnittstellen--eth0--desc
| |
| | ''IP-Adresse'' 192.168.175.102/24
| |
| | IP address 192.168.175.102/24 }}
| |
| {{var | cluster-schnittstellen-extern--bild
| |
| | UTM_v11.8.7_Cluster_Konfig-exr.png
| |
| | UTM_v11.8.7_Cluster_Konfig-exr-en.png }}
| |
| {{var | externe-schnittstelle--ha
| |
| | Externe Schnittstelle auf HA-Betrieb konfigurieren
| |
| | }}
| |
| {{var | externe-schnittstelle--ha--router
| |
| | Externe Schnittstelle zum Router
| |
| | Configure external interface to HA operation }}
| |
| {{var | externe-schnittstelle--ha--bild
| |
| | UTM_v11.8.7_Cluster_Konfig-exr_eth0.png
| |
| | UTM_v11.8.7_Cluster_Konfig-exr_eth0-en.png }}
| |
| {{var | verwendung--schnittstelle--ha--val
| |
| | Schnittstelle für High Availability benutzen
| |
| | Use interface for High Availability }}
| |
| {{var | verwendung--schnittstelle--ha--desc
| |
| | Hochverfügbarkeit konfigurieren
| |
| | Configure high availability }}
| |
| {{var | virtuelle-ip--router
| |
| | Virtuelle IP-Adresse aus dem Netz des Routers
| |
| | Virtual IP address from the network of the router }}
| |
| {{var | cluster--extern--konfig--ergebnis--bild
| |
| | UTM_v11.8.7_Cluster_Konfig-exr_Ergebnis.png
| |
| | UTM_v11.8.7_Cluster_Konfig-exr_Ergebnis-en.png }}
| |
| {{var | externe-ip
| |
| | Externe IP UTM
| |
| | External IP UTM }}
| |
| {{var | virtuelle-ip--cluster
| |
| | Virtuelle IP Cluster
| |
| | Virtual IP Cluster }}
| |
| {{var | ip--router
| |
| | IP des Routers
| |
| | IP of the Router }}
| |
| {{var | tcpdump--bild--cap
| |
| | tcpdump auf master.cluster.local
| |
| | tcpdump at master.cluster.local }}
| |
| {{var | tcpdump--desc
| |
| | Die UTM 1 ist der Master und besitzt die virtuelle IP-Adresse.<br>Setzt man nun einen ping aus dem internen Netz auf die IP-Adresse des Routers ab, sieht man nebenstehendes im tcpdump der UTM1 auf dem externen Interface.</p><p>Der Ping wird vom Client im Standard-Regelwerk ''nicht über die virtuelle IP-Adresse'' des Clusters geNATet, sondern über die ''dem Master eindeutige IP-Adresse 192.168.175.102.''<br>Das kommt zustande, weil die eindeutige IP-Adresse die erste IP auf der Schnittstelle ist und der Router sich in der gleichen Broadcast Domain befindet. Wechselt der Cluster auf das Backup System, wird dort nicht mehr die IP-Adresse der externen Schnittstelle der <i class="host utm">Master</i>-UTM 192.168.175.102 stehen, sondern die IP-Adresse der externen Schnittstelle der <i class="host utm">Spare</i>-UTM 192.168.175.103. </p>
| |
| | The UTM 1 is the master and has the virtual IP address.<br>If you now ping the IP address of the router from the internal network, you can see the tcpdump of the UTM1 on the external interface.</p><p>The ping is not NAT'ed by the client in the standard set of rules ''not via the virtual IP address'' of the cluster, but via the ''the master's unique IP address 192.168.175.102.''<br>This happens because the unique IP address is the first IP on the interface and the router is located in the same broadcast domain. If the cluster switches to the backup system, the IP address of the external interface of the <i class="host utm">Master</i>-UTM 192.168.175.102 is no longer located there, but the IP address of the external interface of the <i class="host utm">Spare</i>-UTM 192.168.175.103. </p> }}
| |
| {{var | cluster--netzwerkobjekt--bild
| |
| | UTM_v11.8.7_Cluster_Netzwerkobjekt-HA.png
| |
| | UTM_v11.8.7_Cluster_Netzwerkobjekt-HA-en.png }}
| |
| {{var | cluster--netzwerkobjekt--desc
| |
| | Um das zu ändern wird im Menü <i class="host utm">Master</i> {{Menu|Firewall|Portfilter}} im Reiter {{Reiter|Netzwerkobjekte}} ein neues Objekt mit der virtuellen IP-Adresse auf dem Cluster Interface erstellt.
| |
| | To change this, create a new object with the virtual IP address on the cluster interface in the menu <i class="host utm">Master</i> {{Menu|Firewall|Port Filter}} on the tab {{Reiter|Network Objects}}. }}
| |
| {{var | cluster--regel--bild
| |
| | UTM_v11.8.7_Cluster_Regel.png
| |
| | UTM_v11.8.7_Cluster_Regel-en.png }}
| |
| {{var | cluster--regel--cap
| |
| | Anschließend wird im Reiter {{Reiter| Portfilter}} die entsprechende HideNAT-Regel bearbeitet. In Beispiel die Regel Nummer 7.
| |
| | Afterwards the corresponding HideNAT rule is edited in the {{Reiter|Port filter}} tab. In the example the rule number 7. }}
| |
| {{var | cluster--regel--detail--bild
| |
| | UTM_v11.8.7_Cluster_Regel2.png
| |
| | UTM_v11.8.7_Cluster_Regel2-en.png }}
| |
| {{var | cluster--regel--detail--bild--desc
| |
| | Das Objekt {{button|external-interface|dr}} wird durch das gerade erstellte Objekt {{button|HA-Externe-IP|dr}} ersetzt.
| |
| | The object {{button|external-interface|dr}} is replaced by the object {{button|HA-External-IP|dr}} just created. }}
| |
| {{var | regel-aktualisieren
| |
| | Regel aktualisieren
| |
| | Update rule }}
| |
| {{var | cluster--tcpdump2--bild
| |
| | UTM_v11.8.7_Cluster_tcpdump2.png
| |
| | UTM_v11.8.7_Cluster_tcpdump2.png}}
| |
| {{var | cluster--tcpdump2--cap
| |
| | tcpdump
| |
| | tcpdump }}
| |
| {{var | cluster--tcpdump2--desc
| |
| | Wird der Ping-Test jetzt wiederholt, wird die Cluster-IP 192.168.175.101 verwendet.
| |
| | If the ping test is now repeated, the cluster IP 192.168.175.101 is used. }}
| |
| {{var | hinweis--tcpdump--ping
| |
| | Wenn der Ping auf den Router ohne Unterbrechung lief, ist dieser noch im Conntrack gespeichert, der Ping wird also noch über die falsche IP-Adresse geNATet.<br>Der Ping muss unterbrochen werden. Nach frühestens 30 Sekunden. kann der Ping dann neu gestartet werden.
| |
| | If the ping to the router ran without interruption, it is still stored in the Conntrack, so the ping is still being NATed via the wrong IP address.<br>The ping must be interrupted. After 30 seconds at the earliest the ping can be restarted. }}
| |
| {{var | hinweis--nat-einstellungen
| |
| | Für NAT Einstellungen müssen immer eindeutige IP-Adressen in den Netzwerkobjekten benutzt werden, wenn das NAT über ein HA-Interface konfiguriert wird. Das gilt nicht nur für HideNATs sondern auch Portweiterleitungen bzw. Destination NATs.
| |
| | For NAT settings, unique IP addresses must always be used in the network objects when configuring NAT via an HA interface. This applies not only to HideNATs but also to port forwarding or destination NATs. }}
| |
| {{var | applikationen
| |
| | Applikationen in der Cluster-Konfiguration
| |
| | Applications in the cluster configuration }}
| |
| {{var | applikationen--bild
| |
| | UTM_v11.8.7_Cluster_Mailrelay_Allgemein.png
| |
| | UTM_v11.8.7_Cluster_Mailrelay_Allgemein-en.png }}
| |
| {{var | applikationen--allgemein
| |
| | Anwendungen verwenden IP-Adressen, um sich bei anderen Servern zu identifizieren.<br>Es ist bei einigen Anwendungen möglich, dafür die Cluster-IP festzulegen.
| |
| | Applications use IP addresses to identify themselves to other servers.<br>For some applications, it is possible to set the cluster IP for this. }}
| |
| {{var | applikationen--beispiel
| |
| | Beispielhaft wird das hier für das Mailrelay gezeigt.
| |
| | This is shown here as an example for the mailrelay. }}
| |
| {{var | applikationen--mailrelay
| |
| | Es sollen E-Mails über das Mailrelay der UTMs verschickt und empfangen werden.<br>Dazu wurden entsprechende PTR, A, MX Records und SPF Einträge in den TXT Records der Domain gemacht, die auf die externe virtuelle IP-Adresse des Clusters zeigen. {{Hinweis|!|r}} Diese IP-Adressen müssen natürlich vom Router, der den Internetzugang in das eigene Netz weiterleitet, geroutet werden.<br> Damit das Mailrelay nun auch E-Mails über diese virtuelle IP verschickt, muss in der Applikation die ausgehende IP-Adresse korrekt eingestellt werden. In unserem Fall die virtuelle IP 192.168.175.101
| |
| | Emails are to be sent and received via the mailrelay of the UTMs.<br> For this purpose, corresponding PTR, A, MX records and SPF entries were made in the TXT records of the domain, which point to the external virtual IP address of the cluster. {{Note|!|r}} Of course, these IP addresses must be routed by the router that forwards the Internet access to your own network.<br> In order for the mail relay to send emails via this virtual IP, the outgoing IP address must be set correctly in the application. In our case the virtual IP 192.168.175.101 }}
| |
| {{var | applikationen--sync
| |
| | Anschließend muss die Cluster Konfiguration erneut synchronisiert werden.
| |
| | Then the cluster configuration must be synchronized again. }}
| |
| {{var | appliaktionen--hinweis
| |
| | Das Mailrelay kommuniziert jetzt '''immer''' mit der virtuellen IP-Adresse 192.168.175.101. Auch der interne Mailserver wird mit dieser IP als Absender kontaktiert. Das muss bei der Konfiguration des Mailservers berücksichtigt werden, sollte dieser nur SMTP-Verbindungen von bestimmten IPs akzeptieren.
| |
| | The mail relay now '''always''' communicates with the virtual IP address 192.168.175.101. The internal mail server is also contacted with this IP as sender. This has to be taken into account when configuring the mail server if it only accepts SMTP connections from certain IPs. }}
| |
| {{var | appliaktionen--kommunikation
| |
| | Kommunikation von Applikationen, die auf der Firewall laufen
| |
| | Communication of applications running on the firewall }}
| |
| {{var | appliaktionen--kommunikation--desc
| |
| | Alle Applikationen, die von der Firewall selber eine Verbindung aufbauen, verwenden dafür (sofern nicht anders konfiguriert) die primären IPs der Schnittstellen. Sollten Management-IPs aus der gleichen Broadcast-Domäne verwendet werden, sind diese primären IPs '''nicht''' die virtuellen IP-Adressen.
| |
| | All applications that establish a connection from the firewall itself use the primary IPs of the interfaces for this purpose (unless otherwise configured). If management IPs from the same broadcast domain are used, these primary IPs are '''not''' the virtual IP addresses. }}
| |
| {{var | syslog
| |
| | Syslog
| |
| | Syslog }}
| |
| {{var | syslog--desc
| |
| | Syslog-Nachrichten werden von der Management-IP der Master verschickt, wenn diese die aktive Maschine im Cluster ist, und von der Management-IP der Spare wenn diese aktiviert wurde.
| |
| | Syslog messages are sent by the management IP of the master if it is the active machine in the cluster, and by the management IP of the spare if it has been activated. }}
| |
| {{var | http-proxy
| |
| | HTTP-Proxy
| |
| | HTTP-Proxy }}
| |
| {{var | http-proxy--desc
| |
| | Sollte ein Parent-Proxy in Benutzung sein, der Verbindungen nur von einer bestimmten IP annimmt, muss diese im Menü {{Menu|Anwendungen| HTTP-Proxy | Allgemein}} → {{b|Ausgehende IP-Adresse}} angegeben werden.
| |
| | If a parent proxy is in use, which accepts connections only from a certain IP, it must be configured in the menu {{Menu|Applications| HTTP-Proxy | General}} → {{b|Outgoing address}} can be specified. }}
| |
| {{var | mailrelay
| |
| | Mailrelay
| |
| | Mailrelay }}
| |
| {{var | radius
| |
| | RADIUS-/LDAP-/AD-Anbindung
| |
| | RADIUS/LDAP/AD connection }}
| |
| {{var | radius--desc
| |
| | Sollte der Server nur Verbindungen von bestimmten IPs zulassen, müssen auf dem '''Ziel-Server''' jeweils die '''Management-IPs beider''' Geräte freigegeben werden.
| |
| | If the server only allows connections from certain IPs, the '''management IPs of both devices''' must be released on the '''target server.''' }}
| |
| {{var | ipsec--desc
| |
| | Alle IPSec-Verbindungen müssen in Phase 1 so angepasst werden, dass im Feld „Local Gateway“ eine der virtuellen IPs fest eingetragen ist.<br>{{Menu|VPN|IPSec}} → {{Button| Phase 1|w}} → {{Reiter|Allgemein}} {{b| Local Gateway}} {{Button|192.168.175.101|dr}}
| |
| | All IPSec connections must be adjusted in phase 1 so that one of the virtual IPs is permanently entered in the "Local Gateway" field.<br>{{Menu|VPN|IPSec}} → {{Button| Phase 1|w}} → {{Reiter|General}} {{b| Local Gateway}} {{Button|192.168.175.101|dr}} }}
| |
| {{var | appliaktionen--extern
| |
| | Kommunikation mit Applikationen, die auf anderen Geräten laufen
| |
| | Communication with applications running on other devices }}
| |
| {{var | ssl-vpn--server
| |
| | SSL-VPN Server
| |
| | SSL-VPN Server }}
| |
| {{var | ssl-vpn--server--desc
| |
| | In allen SSL-VPN-Server-Instanzen muss die Option Multihome aktiviert werden:<br>{{ Menu| VPN | SSL-VPN}} Schaltfläche {{Button | |w}} Reiter {{Reiter | Erweitert}}
| |
| | In all SSL VPN server instances the option Multihome must be activated:<br>{{ Menu| VPN | SSL-VPN}} Button {{Button | |w}} Tab {{Reiter | Advanced}} }}
| |
| {{var | ssl-vpn--clients
| |
| | SSL-VPN Clients
| |
| | SSL VPN clients }}
| |
| {{var | ssl-vpn--clients--desc
| |
| | Alle SSLVPN-Client-Instanzen müssen so angepasst werden, dass Sie eine der virtuellen IPs zum Verbindungsaufbau verwenden. Dazu sind folgende CLI-Befehle erforderlich:
| |
| | All SSLVPN client instances must be customized to use one of the virtual IPs to connect. The following CLI commands are required for this: }}
| |
| {{var | CLI-Befehle
| |
| | CLI Befehle
| |
| | CLI commands }}
| |
| {{var | bedeutung
| |
| | Bedeutung
| |
| | Meaning }}
| |
| {{var | cli--openvpn-get
| |
| | Ermittelt die ID der SSLVPN-Verbindung
| |
| | Determines the ID of the SSLVPN connection }}
| |
| {{var | cli--openvpn-set
| |
| | Setzt die lokale Adresse
| |
| | Sets the local address }}
| |
| {{var | cli--openvpn-restart
| |
| | Aktiviert die Einstellungen
| |
| | Enables the settings }}
| |
| {{var | Beispiel
| |
| | Beispiel
| |
| | Example }}
| |
| {{var | pop3
| |
| | POP3 Proxy
| |
| | POP3 Proxy }}
| |
| {{var | pop3--desc
| |
| | Der POP3-Proxy kommuniziert '''immer mit der Management-IP''', sofern diese in der gleichen Broadcast-Domain wie das Default-Gateway ist. Dies ist bei der Beschränkung des Zugriffs auf POP3-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.
| |
| | The POP3 proxy always communicates '''with the management IP'', if this is in the same broadcast domain as the default gateway. This should be noted when restricting access to POP3 servers to certain IP addresses in their configuration. }}
| |
| {{var | clientless-vpn
| |
| | Clientless VPN
| |
| | Clientless VPN }}
| |
| {{var | clientless-vpn--desc | |
| | Verbindungen zu RDP/VNC-Servern werden immer mit den Management-IPs aufgebaut. Dies ist bei der Beschränkung des Zugriffs auf RDP/VNC-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.
| |
| | Connections to RDP/VNC servers are always established with the management IPs. This must be considered when restricting access to RDP/VNC servers to certain IP addresses in their configuration. }}
| |
| {{var | Nameserver
| |
| | Nameserver
| |
| | Nameservers }}
| |
| {{var | Nameserver--desc
| |
| | Verbindungen zu DNS-Servern werden immer mit den Management-IPs aufgebaut. Dies ist bei der Beschränkung des Zugriffs auf DNS-Server auf bestimmte IP-Adressen in deren Konfiguration zu beachten.
| |
| | Connections to DNS servers are always established with the management IPs. This must be taken into account when restricting access to DNS servers to certain IP addresses in their configuration. }}
| |
| {{var | cli-befehle--desc
| |
| | Im folgenden werden Befehle für die Securepoint CLI beschrieben.
| |
| | The following describes commands for the Securepoint CLI. }}
| |
| {{var | cli-befehl
| |
| | CLI Befehl
| |
| | CLI command }}
| |
| {{var | Ausgabe
| |
| | Ausgabe
| |
| | Output }}
| |
| {{var | cli--cluster-info--desc
| |
| | Der Cluster State gibt an wer im Cluster gerade Master oder Backup ist oder ob der Cluster überhaupt aktiv ist. Die Ausgabe bezieht sich immer auf die Maschine, auf der dieser Befehl ausführt wird.
| |
| | The cluster state indicates who in the cluster is currently master or backup or whether the cluster is active at all. The output always refers to the machine on which this command is executed. }}
| |
| {{var | cli--sync-state
| |
| | Gibt an, in welchem Zustand sich die Konfiguration befindet. Dabei bedeutet ''synchronized'', das sie auf beiden UTMS des Clusters gleich ist. Der Zustand „pending“ bedeutet, die UTMs haben einen unterschiedlichen Stand. In beiden Fällen können die Mitglieder miteinander kommunizieren. Der Zustand „error“ weist darauf hin das sie keine Daten austauschen können. Das könnte der Fall sein, wenn kein Hotwire Interface konfiguriert ist, die Verkabelung nicht korrekt ist, die SSH Keys nicht ausgetauscht wurden, oder falsche SSH Keys verwendet werden.
| |
| | Indicates the status of the configuration. Synchronized" means that it is the same on both UTMs of the cluster. The state "pending" means that the UTMs have a different state. In both cases the members can communicate with each other. The state "error" shows that they cannot exchange data. This could be the case if no hotwire interface is configured, the wiring is not correct, the SSH keys have not been exchanged, or the wrong SSH keys are used. }}
| |
| {{var | cli--hotwire
| |
| | Gibt das Interface an, auf dem das Hotwire Interface konfiguriert ist.
| |
| | Specifies the interface on which the Hotwire interface is configured. }}
| |
| {{var | cli--config-save
| |
| | Falls in der CLI eine Konfigurationsänderung durchgeführt wurde, muss diese erst lokal gespeichert werden. Erst dann wird eine Synchronisierung des Clusters übertragen.
| |
| | If a configuration change has been made in the CLI, it must be saved locally first. Only then is a synchronization of the cluster transferred. }}
| |
| {{var | cli--config-sync
| |
| | Durch diesen Befehl kann die Konfiguration über die Hotwire Schnittstelle an den Cluster Partner übertragen werden. <br>{{Hinweis|!|gelb}}Dabei wird die Konfiguration von der UTM verwendet, auf der der Befehl ausgeführt wird.
| |
| | With this command the configuration can be transferred to the Cluster Partner via the Hotwire interface. <br>{{Hinweis|!|gelb}}The configuration from the UTM on which the command is executed is used. }}
| |
| {{var | cli--value-get
| |
| | Zeigt den Delay in Sekunden an, bevor im Fehlerfall, von Master auf Backup geschaltet wird. Der Standardwert ist 2 Sekunden.
| |
| | Displays the delay in seconds before switching from master to backup in case of an error. The default value is 2 seconds. }}
| |
| {{var | cli--value-set
| |
| | Verändert den Delay, für den Fehlerfall, das von Master auf Backup geschaltet wird. Der Standardwert ist 2 Sekunden und sollte nicht niedriger eingestellt werden. Falls die Appliances im Cluster eine hohe Grundlast haben sollten, kann der Wert höher eingestellt werden. <br>{{Hinweis|!|gelb}} Die Einstellung ist sofort aktiv und kann via ''system config synchronize'' auf den Partner übertragen werden.
| |
| | Changes the delay, for the case of an error, which is switched from master to backup. The default value is 2 seconds and should not be set lower. If the appliances in the cluster have a high base load, the value can be set higher. <br>{{Hinweis|!|gelb}} The setting is immediately active and can be transferred to the partner via ''system config synchronize''. }}
| |
| {{var | Einschränkungen
| |
| | Einschränkungen
| |
| | Restrictions }}
| |
| {{var | Einschränkungen--dhcp--ha
| |
| | DHCP-Client mit HA-Schnittstelle kombinieren
| |
| | Combine DHCP client with HA interface }}
| |
| {{var | Einschränkungen--dhcp--ha--desc
| |
| | Konfigurieren sie kein HA Interface auf einem Ethernet oder VLAN Interface auf dem sie DHCP Client konfiguriert haben, also die UTM auf dem Interface eine IP-Adresse dynamisch zugewiesen bekommt. Sollte der DHCP Server nicht erreichbar sein nachdem sie die UTM gestartet haben und ist sie in dem Augenblick auch der Master im Cluster, wird die virtuelle IP-Adresse vom Interface entfernt sobald der DHCP Server wieder erreichbar ist und die UTM eine neue IP-Adresse vom DHCP Server empfängt.
| |
| | Do not configure an HA interface on an Ethernet or VLAN interface on which you have configured DHCP client, i.e. the UTM on the interface is dynamically assigned an IP address. If the DHCP server is not available after you have started the UTM and it is also the master in the cluster at that moment, the virtual IP address is removed from the interface as soon as the DHCP server is available again and the UTM receives a new IP address from the DHCP server. }}
| |
| {{var | Einschränkungen--dhcp--cluster
| |
| | DHCP-Server in einer Clusterumgebung
| |
| | DHCP server in a cluster environment }}
| |
| {{var | Einschränkungen--dhcp--cluster--desc
| |
| | Bei Verwendung der UTM als DHCP-Server dürfen diese IP-Adressen nicht in der gleichen [http://de.wikipedia.org/wiki/Broadcast_Domain Broadcast Domain] der anderen IP-Adressen liegen.<br>Der DHCP-Server würde sich sonst beim Fallback auf die Physische Adresse der Spare-UTM schlüsseln und die Leases nicht synchronisieren. Siehe: [[#Schritt2 | Cluster Konfiguration Schritt 2]]
| |
| | When using the UTM as DHCP server, these IP addresses must not be located in the same [http://en.wikipedia.org/wiki/Broadcast_domain Broadcast Domain] of the other IP addresses.<br> Otherwise the DHCP server would key itself to the physical address of the spare UTM during the fallback and would not synchronize the leases. See: [[#Step2 | Cluster Configuration Step 2]] }}
| |
|
| |
|
| {{var | Speichern
| | </div> |
| | Speichern
| |
| | Save }}
| |