Интеграция Ideco NGFW и брокера сетевых пакетов DS Integrity NG

В статье описана настройка кластеризации Active/Active.

В Ideco NGFW реализована кластеризации Active/Passive. Повысить отказоустойчивость можно, создав кластер Active/Active. Для этого воспользуйтесь решением наших партнеров АО "НПП "Цифровые решения" - брокером сетевых пакетов DS Integrity NG.

Расположите брокер сетевых пакетов перед Ideco NGFW. Брокер будет самостоятельно балансировать трафик устройств в локальной сети между нодами созданного кластера. При падении одной ноды трафик перебалансируется между остальными Ideco NGFW без перерыва в связи. Это реализует схему кластера Active/Active.

Объединять в кластер устройства Ideco NGFW между собой не нужно. Для корректной работы нод установите одинаковые настройки.

Для централизованного управления нодами Ideco NGFW воспользуйтесь Ideco Center.

Особенности использования схемы:

• Настройки, которые нельзя распространить через центральную консоль, придется вручную изменять на каждом Ideco NGFW;

• Почта будет доступна для работы только в режиме почтового релея. Хранение почтовых ящиков отключено;

• Данные отчетности, логов и мониторинга не синхронизируются между нодами. В каждой ноде хранятся свои данные;

• Восстановление из бекапа и обновление системы будет затрагивать только одну ноду. Каждую ноду потребуется обновлять отдельно;

• Между локальной сетью и брокером сетевых пакетов потребуется расположить роутер с настроенной динамической маршрутизацией (OSPF) для обмена маршрутами;

• На каждую ноду Ideco NGFW потребуется отдельная лицензия. По вопросам условий лицензирования при использовании такой конфигурации обратитесь к менеджерам.

Примеры трех типовых схем совместного использования брокера сетевых пакетов DS Integrity NG и Ideco NGFW ниже. На этой основе встройте оба решения в свою сеть.

На каждом Ideco NGFW для обмена маршрутами необходимо настроить OSPF для всех локальных интерфейсов. Название зоны и вес должны быть идентичными настроенным ранее на роутере. Подробнее о настройке OSPF можно прочитать в соответствующей статье. Там же находятся инструкции для настройки OSPF для MikroTik, который можно использовать в качестве роутера.

По вопросам настройки брокера обращайтесь в техническую поддержку АО "НПП "Цифровые решения".

Пример 1 - Два брокера, по одному со стороны локальной и внешней сетей

Настройка Ideco NGFW:

На каждом устройстве Ideco NGFW необходимо выполнить первоначальную настройку локального и внешнего интерфейсов.

Брокер сетевых пакетов не имеет собственного IP-адреса. Поэтому для устройств в локальной сети шлюзом нужно указать IP-адрес любого из имеющихся Ideco NGFW.

На каждом Ideco NGFW в качестве шлюза внешнего интерфейса нужно использовать IP-адрес, полученный от провайдера.

Пример 2 - Основной и резервный брокеры, расположенные перед Ideco NGFW

Настройка Ideco NGFW

На каждом устройстве Ideco NGFW необходимо выполнить первоначальную настройку локального и внешнего интерфейсов.

Брокер сетевых пакетов не имеет собственного IP-адреса. Поэтому:

• Для устройств в локальной сети шлюзом нужно указать IP-адрес любого из имеющихся Ideco NGFW;

• На каждом NGFW будет два локальных и два внешних интерфейса. Шлюзом внешних интерфейсов нужно указать IP-адрес, полученный от провайдера.

На Ideco NGFW в этой конфигурации в разделе Балансировка и резервирование должен быть активирован режим резервирования. Приоритетным внешним интерфейсом должен быть выбран тот, который идет к основному брокеру сетевых пакетов.

Пример 3 - Один брокер, расположенный перед Ideco NGFW

Настройка Ideco NGFW

На каждом устройстве Ideco NGFW необходимо выполнить первоначальную настройку локального и внешнего интерфейсов.

Брокер сетевых пакетов не имеет собственного IP-адреса. Поэтому:

• Для устройств в локальной сети шлюзом нужно указать IP-адрес любого из имеющихся Ideco NGFW;

• Шлюзом внешнего интерфейса нужно указать IP-адрес, полученный от провайдера.