Ideco NGFW
Скачать PDF
v19
v19
  • Об Ideco NGFW
  • Общая информация
    • Лицензирование
    • Системные требования и источники данных Ideco NGFW
      • Выбор аппаратной платформы
    • Техническая поддержка
      • Информация о поддержке версий Ideco NGFW
  • Быстрый старт Ideco NGFW
    • Рекомендации при первоначальной настройке
    • Подготовка платформы к установке
      • Настройка гипервизора
      • Настройка программно-аппаратных комплексов Ideco NGFW
      • Создание загрузочного USB-накопителя
    • Установка
    • Первоначальная настройка
    • Регистрация сервера
    • Получение доступа в интернет
  • Настройка Ideco NGFW
    • Панель мониторинга
    • Пользователи
      • Учетные записи
        • Управление учетными записями и группами
        • Настройка пользователей
      • Авторизация пользователей
        • Веб-аутентификация
        • IP и MAC авторизация
          • Авторизация по IP-адресу
          • Авторизация по MAC-адресу
        • Авторизация по подсетям
        • Авторизация пользователей терминальных серверов
      • Двухфакторная аутентификация
      • VPN-подключение
        • Подключение по PPTP
        • Подключение по IKEv2/IPsec
        • Подключение по SSTP
        • Подключение по L2TP/IPsec
        • Особенности маршрутизации и организации доступа
        • Инструкция по запуску PowerShell скриптов
      • Ideco Client
        • Установка и настройка Ideco Client на Windows
        • Установка и настройка Ideco Client на MacOS
        • Установка и настройка Ideco Client на Linux
        • Настройка Device VPN
        • Создание сертификатов для Device VPN
        • Балансировка VPN-подключений
        • Кастомная настройка Ideco Client
      • Профили устройств
      • Active Directory/Samba DC
        • Импорт пользователей
        • Аутентификация пользователей AD/Samba DC
          • Настройка сервера Active Directory
          • Настройка клиентских машин
          • Скрипты автоматической разавторизации
      • RADIUS
      • ALD Pro
      • Обнаружение устройств
      • Wi-Fi-сети
    • Мониторинг
      • Сессии администраторов
      • Сессии пользователей
      • Сессии ЛК
      • Графики загруженности
      • Монитор трафика
      • Telegram-бот
      • SNMP
      • Zabbix-агент
      • Netflow
    • Правила трафика
      • Файрвол
        • Таблицы файрвола (FORWARD, DNAT, INPUT и SNAT)
        • Примеры создания правил файрвола
        • Логирование
        • Тестирование правил
        • Предварительная фильтрация
        • Аппаратная фильтрация
      • Контент-фильтр
        • Правила
        • Описание категорий контент-фильтра
        • Морфологические словари
        • Настройки
        • Настройка фильтрации HTTPS
      • Ограничение скорости
      • Антивирус
      • Предотвращение вторжений
        • Группы сигнатур
        • Пользовательские сигнатуры
        • Настройки
      • Исключения
      • Объекты
    • Профили безопасности
      • Web Application Firewall
      • Контроль приложений
        • Особенности создания профилей
        • Пример создания иерархической структуры
        • Настройка фильтрации трафика, для которого в таблице FORWARD нет правил
      • Предотвращение вторжений
    • Сервисы
      • Сетевые интерфейсы
        • Внешние и локальные интерфейсы
        • Агрегированные интерфейсы (LACP)
        • Туннельные интерфейсы (GRE)
        • VCE-интерфейсы
        • SPAN-интерфейсы
      • Балансировка и резервирование
      • Маршрутизация
      • BGP
      • OSPF
      • IGMP Proxy
      • Прокси
        • Исключения
        • Настройка прямого подключения к прокси
        • Настройка прокси с одним интерфейсом
      • Обратный прокси
      • ЛК/Портал SSL VPN
      • Защита и управление DNS
        • Внешние DNS-серверы
        • Master-зоны
        • Forward-зоны
        • DDNS
      • DHCP-сервер
      • NTP-сервер
      • IPsec
        • Подключение между двумя Ideco NGFW в туннельном режиме работы
        • Подключение между двумя Ideco NGFW в транспортном режиме работы
        • Подключение Ideco NGFW и Mikrotik по IPsec в туннельном режиме
        • Подключение Ideco NGFW и Mikrotik по IPsec в транспортном режиме
        • Подключение MikroTik и Ideco NGFW по L2TP/IPsec
        • Подключение Cisco IOS и Ideco NGFW по IPsec в туннельном режиме
        • Подключение Cisco IOS и Ideco NGFW по IPsec в транспортном режиме
        • Подключение Cisco IOS и Ideco NGFW по route-based IPsec
        • Подключение pfSense к Ideco NGFW по IPsec
        • Подключение Kerio Control и Ideco NGFW по IPsec
        • Подключение Keenetic по SSTP или IPsec
      • ГОСТ VPN
      • Сертификаты
        • Загрузка SSL-сертификата на сервер
        • Создание самоподписанного сертификата c помощью PowerShell
        • Создание сертификата c помощью openssl
      • USB-токены
    • Отчеты и журналы
      • Трафик
      • Системный журнал
      • Журнал веб-трафика
      • Журнал трафика
      • События безопасности
      • Действия администраторов
      • Журнал аутентификации
      • Журнал авторизации ЛК
      • Конструктор отчетов
      • Syslog
    • Управление сервером
      • Администраторы
      • Ideco Center
      • VCE
      • Кластеризация
        • Настройка кластера
        • Обновление кластера
      • Обновления
      • Бэкапы
      • Терминал
        • Примеры использования утилит
      • Лицензия
      • Дополнительно
    • Почтовый релей
      • Основные настройки
        • Web-почта
        • Настройка почтового релея
        • Настройка почтового сервера
      • Расширенные настройки
        • Настройка домена у регистратора/держателя зоны
      • Антиспам и антивирус
      • Правила
        • Переадресация почты
      • Почтовая очередь
      • Настройка почтовых клиентов
      • Схема фильтрации почтового трафика
    • Публикация ресурсов
      • Доступ из внешней сети без NAT
      • Публикация веб-приложений (обратный прокси-сервер)
      • Настройка публичного IP-адреса на компьютере в локальной сети
      • Портмаппинг (проброс портов, DNAT)
    • Интеграция NGFW и SkyDNS
    • Полный цикл обработки трафика в Ideco NGFW
  • Настройка MY.IDECO
    • О личном кабинете MY.IDECO
    • NGFW
    • Центральная консоль
    • Monitoring Bot и Security
    • Личные данные и Компании
  • Настройка Ideco Center
    • Об Ideco Center
    • Установка Ideco Center
    • Серверы
    • Мониторинг
    • Политики и объекты
    • Профили безопасности
    • Сервисы
    • Отчеты и журналы
    • Управление сервером
  • Популярные инструкции и диагностика проблем
    • FAQ
      • Инструкции по созданию VPN-подключений
        • Создание VPN-подключения в Alt Linux
        • Создание VPN-подключения в Ubuntu
        • Создание VPN-подключения в Fedora
        • Создание подключения в Astra Linux
        • Создание подключения в Windows
        • Создание VPN-подключения на мобильных устройствах
        • Создание подключения в Mac OS
        • Подключение по SSTP Wi-Fi роутеров Keenetic
      • Подлючение к серверу по COM-порту и настройка Ideco NGFW
      • Анализ трафика
      • Режим удаленного помощника
      • Настройка LACP на Hyper-V
      • Разрешить интернет всем: диагностика неполадок
      • Как разрешить доступ к ресурсам в ограниченной сети
      • Удаленный доступ к серверу
      • Тестирование оперативной памяти сервера
      • Как избавиться от асимметричной маршрутизации трафика
      • Что делать если ваш IP попал в черные списки DNSBL
      • Как восстановить доступ к Ideco NGFW
      • Как восстановиться на прошлую версию после обновления Ideco NGFW
      • Проверка настроек фильтрации с помощью security ideco
      • Поддержка устаревших алгоритмов шифрования
      • Настройка программы Proxifier для прямых подключений к прокси серверу
      • Блокировка популярных ресурсов
      • Настройка прозрачной авторизации на Astra Linux
      • Настройка автоматической веб-аутентификации на Ideco NGFW на Linux
      • Перенос данных и настроек на другой сервер
      • Порядок обработки веб-трафика в Ideco NGFW
      • Интеграция Ideco NGFW и брокера сетевых пакетов DS Integrity NG
      • Настройка совместной работы ViPNet Координатор с Ideco NGFW
      • Блокировка чат-ботов
      • Таблица портов Ideco NGFW, доступных из локальной и внешних сетей
      • Как Ideco Client осуществляет обработку запросов с редиректом на сервер Ideco NGFW
      • Как включить таймер при загрузке Ideco NGFW
    • Диагностика проблем
      • Ошибка при открытии сайта ERR_CONNECTION_TIMED_OUT или Не открывается сайт
      • Что делать если не работает интернет
      • Ошибка при авторизации "The browser is outdated"
      • Если соединение по IPsec не устанавливается
      • Ошибка 400 Bad Request Request Header Or Cookie Too Large при авторизации в браузерах
  • API
    • Описание основных хендлеров
    • Управление интеграцией с Active Directory
    • Управление интеграцией с ALD Pro
    • Управление администраторами
    • Управление пользователями
    • Управление Ideco Client
    • Мониторинг и журналы
    • Управление правилами трафика
      • Файрвол
      • Контроль приложений
      • Контент-фильтр
      • Предотвращение вторжений
      • Исключения
    • Управление профилями безопасности
    • Управление сетевыми интерфейсами
    • Управление VPN
    • Управление обратным прокси
    • DHCP-сервер
    • DNS-сервер
    • Настройка удаленной передачи системных логов
    • Управление Ideco Center
    • Бэкапы и возврат к предыдущей версии
    • Почтовый релей
      • Расширенные настройки
      • Антиспам и антивирус
      • Правила
      • Почтовая очередь
    • Примеры использования
      • Редактирование пользовательской категории контент-фильтра
      • Создание правила FORWARD
  • changelog
    • Ideco NGFW 19.X
    • ФСТЭК Ideco UTM 19.X
    • Ideco Center 19.Х
Powered by GitBook
On this page
  • Процесс синхронизации нод в кластере
  • Диагностика нод кластера
  • Особенности работы кластера
  • Возможные проблемы при работе двух Ideco NGFW в кластере

Was this helpful?

  1. Настройка Ideco NGFW
  2. Управление сервером

Кластеризация

В разделе описывается настройка кластера, состоящего из двух серверов Ideco NGFW.

PreviousVCENextНастройка кластера

Last updated 9 days ago

Was this helpful?

Название службы раздела Кластеризация: ideco-cluster-backend; ideco-cluster-backup-pusher. Список служб для других разделов доступен по .

Каждое из двух устройств Ideco NGFW, объединенных в кластер, называется нодой.

Кластер работает в режиме active-passive:

  • Активной является нода, обрабатывающая трафик в данный момент.

  • Резервная нода находится в предзагруженном состоянии и непрерывно отслеживает состояние активной ноды, а при отсутствии связи с ней переводит текущие задачи обработки трафика на себя.

В любой момент обрабатывать трафик может только одна из нод.

Административно переключить ноды нельзя.

Сетевое взаимодействие между нодами осуществляется по Кластерной сети. Это физический канал, под который на каждой из нод резервируется по одному физическому порту. При переключении нод резервная нода становится активной.

Если IP-адреса кластера настроены вручную, то он имеет один общий IP на внутреннем интерфейсе и другой общий IP на внешнем интерфейсе. В случае автоматической конфигурации по DHCP адреса будут отличаться в зависимости от ноды.

Процесс синхронизации нод в кластере

  • При синхронизации двух NGFW данные активной ноды копируются в резервную ноду. Вся информация на резервной ноде перезаписывается.

  • Синхронизация данных происходит автоматически в фоновом режиме.

  • Автоматические бэкапы отключены на резервной ноде. Все бэкапы с активной ноды передаются на резервную в момент обмена данными и заменяют те бэкапы, которые там присутствовали ранее.

Для корректной работы кластера необходимо постоянное наличие связи между нодами. Для моментального переключения ноды следует соединять прямым линком, не используя мост или коммутатор.

Обмен данными между нодами кластера происходит раз в три минуты. Все несинхронизированные пользовательские изменения настроек и бэкапы могут быть потеряны, если с момента внесения изменений на активной ноде до переключения нод не было обмена данными.

Диагностика нод кластера

Проверить статус текущей ноды

Имя сервера активной ноды отображается в левом верхнем углу веб-интерфейса, под именем кластера.

Для проверки статуса текущей ноды:

1. Перейдите в раздел Управление сервером -> Терминал веб-интерфейса NGFW или в консоль в локальном меню.

2. Введите команду:

etcdctl_rt get /cluster/status/v1/record

Вывод команды:

  • {"state": "ACTIVE"} - текущая нода - активная;

  • {"state": "RESERVE"} - текущая нода - резервная;

  • {"state": "NOT_CONFIGURED"} - кластер не настроен.

Проверить состояние резервной ноды

Резервная нода доступна, если в разделе Управление сервером -> Кластеризация присутствует сообщение о том, что связь с сервером установлена.

Проверить статусы интерфейсов и модулей резервной ноды можно, подключившись к ней по ssh (это возможно только в кластере С синхронизацией сессий). Для этого:

1. На активной ноде перейдите в раздел Управление сервером -> Терминал.

2. Введите команду ideco-ssh-another-node для подключения по ssh к резервной ноде.

3. Воспользуйтесь командами:

  • ip a - для проверки статуса сетевых интерфесов резервной ноды;

  • systemctl status <название службы Ideco NGFW> - для проверки статуса служб Ideco NGFW.

Особенности работы кластера

Особенности работы кластера с синхронизацией сессий
  • При переключении на резервную ноду изменения с активной ноды применяются к etcd, бэкапам, ClickHouse на резервной ноде. Изменения не применяются к логам journald и мониторинга, а также аппаратным данным.

  • Время переключения нод - 15 сек. С 18 версии при пропадании линка между нодами переключение происходит моментально.

  • При переключении происходит синхронизация данных приложений с активной ноды на резервную.

  • Нода, на которой есть внесенные администратором изменения, будет оставаться активной до синхронизации данных с резервной нодой.

  • При отключении линка локальной/внешней сети активная нода становится резервной, резервная становится активной.

  • При отключении линка локальной/внешней сети активной становится нода, у которой больше активных линков. Резервной - нода, у которой меньше активных линков.

  • При одинаковом количестве отключенных линков на обеих нодах активной становится нода, у которой было меньше всего деградации сети (разрывов). Резервной - нода, у которой было больше всего разрывов.

  • При одинаковом количестве отключенных/включенных линков на обеих нодах и одинаковом количестве разрывов сети активной становится нода, у которой больше uptime (запущена раньше). Резервной - нода, у которой uptime меньше (запущена позднее).

  • При офлайн-обновлении кластера с синхронизацией сессий обновления баз Предотвращения вторжений, Контент-фильтра и Антивирусов веб-трафика не синхронизируются, каждая нода обновляется отдельно. Вторая нода обновится после того, как станет активной.

Особенности работы кластера без синхронизации сессий
  • При переключении на резервную ноду синхронизируются все данные с диска активной ноды (синхронизация осуществляется за счет копирования файлов в файловой системе).

  • Время переключения нод - 15 сек + загрузка резервной ноды.

  • При переключении нод не синхронизируются логи мониторинга и journald, а также аппаратные данные.

Особенности работы с бэкапами при кластеризации
  • Невозможно полное восстановление из бэкапов. При этом можно создать резервную копию и после разрушения кластера восстановить копию на ноде, которая была активной.

  • На активной ноде доступно Мгновенное восстановление из бэкапа. Восстанавливаются все настройки, кроме статистики в отчетах. Данные на второй ноде также придут в соответствие с восстановленными настройками после синхронизации нод.

Возможные проблемы при работе двух Ideco NGFW в кластере

  • Почта будет доступна для работы только в режиме почтового релея. Хранение почтовых ящиков отключено.

  • Два NGFW с разными версиями не синхронизируются.

  • При различных размерах жестких дисков могут возникнуть проблемы синхронизации из-за нехватки места.

  • Если у провайдера имеется привязка по MAC-адресу, то при переключении нод будет отсутствовать доступ в интернет.

  • Если с момента создания бэкапа на активной ноде до переключения нод не было синхронизации данных между нодами, после переключения этот бэкап будет потерян.

  • Если с момента мгновенного восстановления из бэкапа на активной ноде до переключения нод не было синхронизации данных между нодами, после переключения вторая нода окажется в состоянии до восстановления.

    • Либо разрушить кластер (для создания LACP-интерфейса).

    • Либо удалить агрегированные интерфейсы (для настройки кластера).

При обновлении Ideco NGFW в кластере сначала обновится активная нода, затем резервная нода с младшей версией принудительно станет активной для обновления до версии активной ноды. Подробнее смотрите статью .

Кластерный режим несовместим с . При добавленном LACP-интерефейсе настройка кластера будет невозможна. В работающем кластере нельзя создать LACP-интерфейсы. Для перехода между режимами требуется:

Не рекомендуем создавать VCE на нодах кластера. Если в кластере на одной из нод был создан , со второй нодой будут синхронизироваться только данные таблицы раздела Управление сервером -> VCE. После переключения на пассивной ноде будет создан VCE с тем же именем и комментарием, но внутренние настройки созданных на первой ноде VCE (администраторы, сетевые интерфейсы, политики безопасности и т. д.) не перенесутся.

ссылке
Обновление кластера
агрегацией интерфейсов (LACP)
VCE