Neste procedimento explica-se como configurar dois firewalls Fortigate em modo cluster, para alta disponibilidade. É necessário que ambos os firewalls tenham a mesma versão de firmware. No meu caso os dois têm uma versão 3, com uma build 400. Configurei-lhes as seguintes características a cada um:

Nome do host: Mortadelo
IP da DMZ: 192.168.4.1
IP da Internal: 192.168.2.1
IP da WAN1: 192.168.1.155

Nome do host: Filemon
IP da DMZ: 192.168.4.2
IP da Internal: 192.168.2.2
IP da WAN1: 192.168.1.156

Os endereços IP não têm importância qual atribuir (logicamente) simplesmente indico para dizer que as outras interfaces estão desativadas.

Poço, o que seria necessário configurar para fazer este cluster, Nós vamos “Sistema” > “Config”. Em “Mode” indicaremos o estado deste firewall, se está em “Autônomo” significa que não pertencerá a nenhum cluster. Se está em modo “Ativo-Passivo”, o que está em modo passivo estaria como desligado ou à espera do que estiver como ativo falhar. O mais lógico é configurá-lo como “Ativo-Ativo” para que funcionem como um balanceamento de carga e se repartam a carga. A prioridade indica, qual será a prioridade deste firewall no cluster, podemos ter vários com mais ou menos prioridade para que assumam eles a carga, normalmente se ponen todos con la mesma prioridade. Em “Nome do Grupo” é simplesmente o nome do clúster, No meu caso “CLUSTER” e atribuímos uma palavra-passe/senha para quando querramos unir más firewalls a este clúster. Habilitamos “Enable Session Pick-up” para indicar que no se pierdan las sesiones si hay alguma caida, esto es lógico, para isso es un clúster (High Ability). Más abaixo indicamos las interfaces que queremos monitorizar con los Logs (“Port Monitor”) que normalmente son las interfaces externas. E em “Heratbeat Interface” marcaremos las que estarán conectadas entre los firewalls, en estas fortalezas o normal é conectarlos por algum puerto que tengamos libre, como no meu caso por la DMZ, assim que marco este check e conecto los firewall com um clable cruzado entre as interfaces da DMZ. “OKEY”. Temos de ser pacientes e esperar um bom bocado até que o cluster seja criado, já que o fortigate terá de reiniciar. Damos cerca de cinco minutos para continuar com o passo seguinte.

Agora fazemos o mesmo no outro firewall, se antes o configurámos no 192.168.2.1, agora faremos no outro 192.168.2.2, introduzindo o mesmo nome de cluster para nos unirmos a ele com a mesma palavra-passe. “OKEY”. Agora o FW irá reiniciar, Somos novamente pacientes e esperamos que se junte ao cluster.

Uma vez reiniciados, veremos que na consola principal a imagem já mudou e vemos vários juntos, isso significa que há um cluster, no ecrã já indica quem são os membros do cluster. A la hora de crear el clúster tenemos que tener en cuenta que el primer que hagamos, desde el que creemos el clúster, será el que mantenga la configuración, ya que los demás la irán heredando de él.

E a partir de “Sistema” > “Config” veremos más opciones y quienes son miembros…

Podemos hacer una prueba, por ejemplo un ping hacia el exterior y apagar uno de forma brusca, quitandole la alimentación o lo que fuera. Vemos que el ping se corta, por que el clúster de fortigate todavía le queda mucho por mejorar pero que al de un par de segundos todo vuelve a su cauce con el otro fortigate. Así que el clúster funciona perfectamente.