HA در فورتی گیت چیست؟ آموزش کامل High Availability در FortiGate

در بسیاری از سازمان‌ها، حتی چند دقیقه از دسترس خارج شدن شبکه می‌تواند باعث توقف سرویس‌ها، اختلال در ارتباط کاربران و ایجاد خسارت‌های مالی شود. از کار افتادن فایروال نیز معمولاً به معنای قطع ارتباط کاربران با اینترنت، VPN، سرویس‌های داخلی و بسیاری از سامانه‌های حیاتی سازمان است. به همین دلیل، سازمان‌ها از راهکارهایی استفاده می‌کنند که در صورت بروز خرابی سخت‌افزاری یا نرم‌افزاری، سرویس‌ها بدون وقفه در دسترس باقی بمانند. یکی از مهم‌ترین این راهکارها HA در فورتی گیت (High Availability) است.

قابلیت High Availability (HA) در FortiGate با ایجاد یک خوشه از چند فایروال، پایداری سرویس‌های شبکه را افزایش می‌دهد و از تبدیل شدن خرابی یک دستگاه به قطعی سرویس جلوگیری می‌کند.

 HA در فورتی گیت چیست؟

High Availability یا HA در فورتی گیت قابلیتی است که چند دستگاه FortiGate را در قالب یک کلاستر (Cluster) به یکدیگر متصل می‌کند تا از دسترس‌پذیری مداوم سرویس‌های شبکه اطمینان حاصل شود.

در این معماری، اعضای کلاستر به‌عنوان یک سامانه واحد عمل می‌کنند و تنظیمات، سیاست‌های امنیتی و سایر اطلاعات موردنیاز را میان خود همگام‌سازی می‌کنند. این موضوع باعث می‌شود زیرساخت امنیتی حتی در صورت بروز خرابی برای یکی از دستگاه‌ها، همچنان پایدار باقی بماند.

به همین دلیل، HA یکی از مهم‌ترین قابلیت‌های FortiGate برای افزایش Availability، کاهش Downtime و حذف Single Point of Failure در شبکه محسوب می‌شود.

چرا از HA در فورتی گیت استفاده می‌شود؟

در بسیاری از شبکه‌ها، فایروال نقطه عبور تمام ارتباطات سازمان است و هرگونه خرابی در آن می‌تواند دسترسی کاربران به اینترنت، VPN، سرویس‌های ابری و سامانه‌های داخلی را مختل کند. در چنین شرایطی، حتی چند دقیقه قطعی نیز ممکن است باعث توقف فرآیندهای کاری و ایجاد خسارت‌های عملیاتی شود.

قابلیت HA برای جلوگیری از چنین شرایطی طراحی شده است. با پیاده‌سازی High Availability، سازمان‌ها می‌توانند احتمال توقف سرویس‌ها در اثر خرابی تجهیزات را به حداقل برسانند و تداوم خدمات شبکه را حفظ کنند.

به همین دلیل، HA در بسیاری از مراکز داده، بانک‌ها، سازمان‌های دولتی و شرکت‌هایی که پایداری سرویس برای آن‌ها اهمیت بالایی دارد، به یکی از اجزای اصلی طراحی شبکه تبدیل شده است.

HA در فورتی گیت چگونه کار می‌کند؟

در معماری High Availability، چند دستگاه FortiGate به‌صورت یک کلاستر (Cluster) با یکدیگر کار می‌کنند و از دید کاربران و تجهیزات شبکه، مانند یک فایروال واحد دیده می‌شوند. اعضای کلاستر به‌طور مداوم وضعیت یکدیگر را بررسی کرده و اطلاعات لازم را میان خود تبادل می‌کنند تا همیشه آماده جایگزینی در صورت بروز مشکل باشند.

یکی از مهم‌ترین ویژگی‌های HA در FortiGate، همگام‌سازی (Synchronization) تنظیمات میان اعضای کلاستر است. هر تغییری که روی دستگاه اصلی مانند ایجاد Policy، تنظیم VPN، Route یا سایر پیکربندی‌ها انجام شود، به‌صورت خودکار روی سایر اعضای کلاستر نیز اعمال می‌شود. به همین دلیل همه دستگاه‌ها همواره از یک پیکربندی یکسان استفاده می‌کنند.

علاوه بر تنظیمات، FortiGate به‌صورت مداوم سلامت سخت‌افزار، لینک‌های شبکه و وضعیت سرویس‌ها را نیز پایش می‌کند. اگر یکی از این بخش‌ها دچار مشکل شود و شرایط تعریف‌شده برای ادامه فعالیت دستگاه فراهم نباشد، فرآیند Failover آغاز شده و یکی دیگر از اعضای کلاستر بدون نیاز به دخالت مدیر شبکه، مسئولیت پردازش ترافیک را بر عهده می‌گیرد.

انواع HA در فورتی گیت

FortiGate از دو حالت اصلی برای پیاده‌سازی High Availability پشتیبانی می‌کند که هر کدام متناسب با نیازهای مختلف شبکه طراحی شده‌اند. انتخاب نوع HA به عواملی مانند حجم ترافیک، نیاز به افزایش ظرفیت پردازشی و میزان دسترس‌پذیری مورد انتظار بستگی دارد.

1. Active-Passive HA

Active-Passive رایج‌ترین روش پیاده‌سازی HA در FortiGate است. در این معماری، تنها یکی از فایروال‌ها به‌عنوان Primary به پردازش ترافیک شبکه می‌پردازد و سایر اعضای کلاستر در حالت Standby قرار دارند.

اعضای غیرفعال به‌صورت مداوم وضعیت دستگاه اصلی، تنظیمات و Sessionهای موردنیاز را دریافت می‌کنند تا در صورت بروز خرابی، بتوانند در کوتاه‌ترین زمان ممکن جایگزین آن شوند.

به دلیل سادگی مدیریت، پایداری بالا و زمان Failover پایین، Active-Passive در اکثر سازمان‌ها، مراکز داده و شعب سازمانی مورد استفاده قرار می‌گیرد.

2. Active-Active HA

در حالت Active-Active تمام اعضای کلاستر در پردازش ترافیک شبکه مشارکت دارند و بار پردازشی میان آن‌ها توزیع می‌شود.

در این معماری، علاوه بر افزایش دسترس‌پذیری، بخشی از بار پردازشی نیز میان فایروال‌ها تقسیم می‌شود که می‌تواند در شبکه‌های پرترافیک مفید باشد.

با این حال، مدیریت Active-Active نسبت به Active-Passive پیچیده‌تر است و معمولاً در محیط‌هایی استفاده می‌شود که علاوه بر High Availability، افزایش ظرفیت پردازش نیز اهمیت زیادی دارد.

در بیشتر سناریوهای سازمانی، Fortinet استفاده از معماری Active-Passive را به دلیل سادگی مدیریت و عملکرد پایدارتر پیشنهاد می‌کند.

Active-Passive یا Active-Active؛ کدام معماری برای FortiGate مناسب‌تر است؟

هر دو معماری Active-Passive و Active-Active با هدف افزایش دسترس‌پذیری (High Availability) طراحی شده‌اند، اما تفاوت آن‌ها در نحوه استفاده از منابع سخت‌افزاری و مدیریت ترافیک شبکه است. انتخاب هر یک از این حالت‌ها به نیازهای سازمان، حجم ترافیک و پیچیدگی زیرساخت بستگی دارد.

اجزای اصلی High Availability در FortiGate

برای عملکرد صحیح HA، چند مؤلفه اصلی در کنار یکدیگر کار می‌کنند که هر کدام وظیفه مشخصی در مدیریت کلاستر و حفظ دسترس‌پذیری سرویس‌ها دارند.

• Primary Unit

Primary یا Master دستگاهی است که در حالت عادی مسئول پردازش ترافیک، اعمال سیاست‌های امنیتی و مدیریت ارتباطات شبکه است. تمام تغییرات مدیریتی نیز معمولاً روی این عضو انجام می‌شود و سپس به سایر اعضای کلاستر منتقل می‌شود.

• Secondary Unit

Secondary یا Standby نسخه‌ای همگام‌شده از دستگاه اصلی است که به‌طور مداوم وضعیت Primary را پایش می‌کند. در صورت از دسترس خارج شدن دستگاه اصلی، این عضو به‌صورت خودکار جایگزین آن خواهد شد.

• Heartbeat Interface

Heartbeat یکی از مهم‌ترین اجزای HA است و وظیفه برقراری ارتباط میان اعضای کلاستر را بر عهده دارد.

از طریق این لینک، فایروال‌ها اطلاعاتی مانند وضعیت سلامت دستگاه، تنظیمات، Sessionها و سایر اطلاعات مدیریتی را با یکدیگر تبادل می‌کنند.

به همین دلیل، فورتینت توصیه می‌کند برای Heartbeat از یک لینک اختصاصی و پایدار با حداقل تأخیر استفاده شود تا احتمال بروز Failoverهای اشتباه کاهش یابد.

• Session Synchronization

یکی از قابلیت‌های مهم HA، همگام‌سازی Sessionهای فعال میان اعضای کلاستر است.

به کمک این قابلیت، اطلاعات ارتباطات در حال اجرا مانند Sessionهای VPN یا ارتباطات TCP روی سایر اعضای کلاستر نیز نگهداری می‌شود. بنابراین هنگام وقوع Failover، بسیاری از ارتباطات فعال بدون نیاز به برقراری مجدد ادامه پیدا می‌کنند.

• Failover

فرآیندی است که طی آن، در صورت خرابی دستگاه Primary یا از دست رفتن شرایط لازم برای ادامه فعالیت، یکی از اعضای Secondary به‌صورت خودکار مسئولیت پردازش ترافیک را بر عهده می‌گیرد.

این جابه‌جایی معمولاً در مدت‌زمان بسیار کوتاهی انجام می‌شود و باعث می‌شود کاربران کمترین میزان اختلال را تجربه کنند.

مزایای HA در FortiGate

استفاده از High Availability در فورتی گیت تنها به جلوگیری از خرابی فایروال محدود نمی‌شود، بلکه مزایای متعددی برای پایداری، امنیت و مدیریت شبکه به همراه دارد.

• افزایش دسترس‌پذیری (High Availability): خرابی یک فایروال باعث از دسترس خارج شدن سرویس‌های شبکه نمی‌شود.
• کاهش Downtime: فرآیند Failover در مدت کوتاهی انجام می‌شود و زمان قطعی سرویس‌ها به حداقل می‌رسد.
• حذف Single Point of Failure: وابستگی شبکه به یک فایروال از بین می‌رود و زیرساخت در برابر خرابی مقاوم‌تر می‌شود.
• تداوم سرویس‌های حیاتی: سرویس‌هایی مانند اینترنت، SSL VPN، IPsec VPN و ارتباط بین شعب حتی در زمان خرابی تجهیزات نیز در دسترس باقی می‌مانند.
• مدیریت متمرکز تنظیمات: تغییرات پیکربندی روی عضو اصلی انجام شده و به‌صورت خودکار با سایر اعضای کلاستر همگام‌سازی می‌شود.

• امکان انجام تعمیرات و به‌روزرسانی بدون توقف سرویس‌ها: در بسیاری از سناریوها می‌توان عملیات نگهداری یا ارتقای تجهیزات را بدون ایجاد قطعی برای کاربران انجام داد.

پیش‌نیازهای راه‌اندازی HA در FortiGate

برای پیاده‌سازی صحیح HA، رعایت برخی پیش‌نیازها ضروری است تا اعضای کلاستر بتوانند بدون مشکل با یکدیگر همگام شوند.

مهم‌ترین پیش‌نیازها عبارت‌اند از:

• استفاده از مدل‌های سازگار FortiGate (ترجیحاً مدل یکسان)
• یکسان بودن نسخه FortiOS روی تمام اعضای کلاستر
• اختصاص حداقل یک یا دو لینک مجزا برای Heartbeat
• هماهنگ بودن مجوزها (Licenses) و سرویس‌های موردنیاز
• طراحی صحیح آدرس‌دهی و اتصالات شبکه
• بررسی سلامت سخت‌افزار و لینک‌های ارتباطی پیش از راه‌اندازی
• پیکربندی صحیح Interfaceهای Heartbeat و اطمینان از ارتباط پایدار میان اعضای کلاستر

رعایت این موارد باعث می‌شود فرآیند تشکیل کلاستر و همگام‌سازی اطلاعات بدون مشکل انجام شود.

سناریوهای رایج استفاده از HA در FortiGate

قابلیت High Availability در بسیاری از زیرساخت‌های شبکه به‌کار گرفته می‌شود، اما اهمیت آن در محیط‌هایی که قطعی سرویس می‌تواند خسارت مالی یا عملیاتی ایجاد کند، بسیار بیشتر است. برخی از رایج‌ترین سناریوهای استفاده از HA عبارت‌اند از:

• مراکز داده (Data Center)

در مراکز داده، فایروال نقطه عبور حجم زیادی از ترافیک کاربران و سرویس‌ها است. استفاده از HA باعث می‌شود در صورت خرابی یکی از فایروال‌ها، سرویس‌های میزبانی، ماشین‌های مجازی و برنامه‌های تحت وب بدون وقفه در دسترس باقی بمانند.

• بانک‌ها و مؤسسات مالی

در سامانه‌های بانکی، حتی چند دقیقه قطعی می‌تواند باعث اختلال در تراکنش‌های مالی و نارضایتی مشتریان شود. پیاده‌سازی HA کمک می‌کند سرویس‌های حیاتی مانند اینترنت بانک، همراه بانک و ارتباط بین شعب با حداقل اختلال ادامه پیدا کنند.

• سازمان‌های دارای چندین شعبه

در بسیاری از سازمان‌ها، ارتباط شعب از طریق VPN برقرار می‌شود. استفاده از HA در فایروال‌های مرکزی باعث می‌شود در صورت بروز خرابی، ارتباط شعب با مرکز قطع نشود و فرآیندهای سازمان بدون وقفه ادامه یابد.

• ارائه‌دهندگان خدمات ابری (Cloud Providers)

شرکت‌های ارائه‌دهنده خدمات ابری باید سرویس‌های خود را به‌صورت 24 ساعته در اختیار مشتریان قرار دهند. HA با کاهش Downtime و افزایش پایداری زیرساخت، نقش مهمی در حفظ کیفیت خدمات این مجموعه‌ها ایفا می‌کند.

• بیمارستان‌ها و مراکز درمانی

در مراکز درمانی، بسیاری از سامانه‌های ثبت اطلاعات بیماران، تجهیزات پزشکی و سرویس‌های ارتباطی به شبکه وابسته هستند. استفاده از High Availability احتمال اختلال در این سرویس‌های حیاتی را به حداقل می‌رساند.