Setting up an HA cluster with two LANCOM R&S®Unified Firewalls (High Availability)

Description:

To improve the availability two Unified Firewalls can be set up in an HA cluster (High Availability). In doing so one Firewall acts as the Master and the other one as a Slave. The configuration as well as status information is synchronized from the Master Firewall to the Slave Firewall.

If an outage of the Master Firewall occurs, the Slave Firewall becomes the new Master and takes over all network communication. To announce the new MAC address a Gratuitous ARP packet is sent for each network.

Requirements:

• LANCOM R&S®Unified Firewall mit LCOS FX ab Version 10.3
  
• Zwei Unified Firewalls des gleichen Modell-Typs ab UF-200 
• Gleiche Firmware-Version auf beiden Unified Firewalls
• Eine Unified Firewall Lizenz
• Vollständig abgeschlossene Konfiguration auf der Firewall, welche als Master fungiert
• Mindestens ein freier Ethernet-Port auf beiden Geräten
• Der Switch im lokalen Netzwerk muss das Gratuitous ARP der Slave Firewall übertragen
• Web-Browser zur Konfiguration der beiden Unified Firewalls
  
  Es werden folgende Browser unterstützt:
  • Google Chrome
  • Chromium
  • Mozilla Firefox

Scenario:

• Die Ethernet-Ports werden auf beiden Unified Firewalls gleich konfiguriert und verkabelt
  • eth0 wird für die Internet-Verbindung zum vorgeschalteten Router verwendet und geht zu einem zwischengeschalteten Switch
  • eth1 wird für das lokale Netzwerk verwendet und geht zu einem Switch
  • eth3 wird für die Verbindung der beiden Unified Firewalls zur Cluster-Synchronisation verwendet (Cluster Interconnect)

Procedure:

1. Konfiguration der Master Firewall:

1.1 Öffnen Sie die Konfiguration der Unified Firewall im Browser und wechseln in das Menü Netzwerk → Verbindungen → Netzwerk-Verbindungen.

Für den HA-Cluster Betrieb wird ein dedizierter Ethernet-Port benötigt. Löschen Sie daher eine nicht verwendete Netzwerk-Verbindung, sofern erforderlich (in diesem Beispiel muss die dem Interface eth3 zugewiesene Netzwerk-Verbindung gelöscht werden).

1.2 Wechseln Sie in das Menü Firewall → Hochverfügbarkeit.

1.3 Aktivieren Sie die Hochverfügbarkeit über den Schieberegler und passen folgende Parameter an:

• Initiale Rolle: Wählen Sie Master aus.
• HA-Interface: Wählen Sie im Dropdownmenü den freien Ethernet-Port aus, der für die Synchronisation zwischen den beiden Unified Firewalls verwendet werden soll (in diesem Beispiel der Port eth3).
• Lokale IP: Vergeben Sie eine IP-Adresse im CIDR-Format (Classless Inter Domain Routing) für die Master Firewall. Diese IP-Adresse bzw. dieses Netzwerk darf nicht bereits anderweitig verwendet werden.
• Remote-IP: Vergeben Sie eine IP-Adresse aus dem gleichen Netzwerk wie die Lokale IP für die Slave Firewall. IP-Adressen in einem anderen Netzwerk können nicht angesprochen werden.

1.4 Die Konfigurations-Schritte auf der Master Firewall sind damit abgeschlossen.

2. Konfiguration der Slave Firewall:

2.1 Stellen Sie sicher, dass der gleiche Ethernet-Port wie auf der Master Firewall für die Synchronisierung verwendet werden kann, indem Sie - sofern erforderlich - die Netzwerkverbindung löschen (siehe Schritt 1.1).

2.2 Aktivieren Sie die Hochverfügbarkeit über den Schieberegler und passen folgende Parameter an:

• Initiale Rolle: Wählen Sie Slave aus.
• HA-Interface: Wählen Sie im Dropdownmenü den freien Ethernet-Port aus, der für die Synchrinisation zwischen den beiden Unified Firewalls verwendet werden soll (in diesem Beispiel der Port eth3).
• Lokale IP: Hinterlegen Sie die IP-Adresse der Slave Firewall im CIDR-Format (Classless Inter Domain Routing), welche Sie in Schritt 1.3 als Remote-IP hinterlegt haben.
• Remote-IP: Hinterlegen Sie die IP-Adresse der Master Firewall, welche Sie in Schritt 1.3 als Lokale-IP hinterlegt haben.

2.3 Die Konfigurationsschritte auf der Slave Firewall sind damit abgeschlossen. Die Synchronisation wird nun durchgeführt.