FortiGate HA: Yedekli Firewall Gerekli mi?

Güvenlik duvarı, ağın tek geçiş noktasıdır. Arızalandığında internet, şubeler arası bağlantı ve dışarıdan erişim — hepsi durur. Yedekli kurulum bu riski ortadan kaldırır ama her işletme için gerekli değildir.

HA nasıl çalışır?

İki cihaz küme olarak yapılandırılır. Biri aktif çalışır, diğeri yapılandırmanın birebir kopyasını taşıyarak bekler.

Aralarında sürekli bir "kalp atışı" sinyali gider. Aktif cihaz yanıt vermeyi bıraktığında yedek cihaz devralır. Kullanıcı çoğu zaman fark etmez.

Oturum bilgilerinin de aktarılması sağlanabilir; bu durumda devir sırasında açık bağlantılar da korunur. Kaynak tüketimi biraz artar.

Ne zaman gerekir?

Firewall arızası bir iş gününü durduracaksa. Kaç kişi çalışamaz, saatlik kaybınız ne — bu hesabı yapın.
Bakım penceresi bulamıyorsanız. HA çiftinde bellenim güncellemesi kesintisiz yapılabilir: önce yedek birim yükseltilir, devredilir, sonra diğeri.
Dışarıdan erişilen servisleriniz varsa — müşteri portalı, uzaktan çalışan personel, şube bağlantıları.
Sözleşmeyle taahhüt ettiğiniz erişilebilirlik varsa.

Ne zaman gereksiz?

Küçük bir ofiste, internet kesintisinin birkaç saat katlanılabilir olduğu yerlerde HA gereksiz bir maliyettir.

Alternatif: yedek cihazı rafta tutmak. Aynı model, yapılandırma yedeği yüklü, kutusunda bekler. Arıza olduğunda takılır, yedek geri yüklenir — bir-iki saatte ayaktasınız.

Bu, HA maliyetinin belirgin altındadır ve birçok işletme için doğru dengedir. Önemli olan yedek cihazın yapılandırmasının güncel tutulması.

Şartlar

İki cihaz aynı model olmalı
İki cihaz aynı bellenim sürümünde olmalı
Kalp atışı için ayrılmış arayüz gerekir
Her iki cihaz da lisanslı olmalı

Farklı model ya da farklı sürümle küme kurulmaz; kurulsa da kararsız çalışır.

En sık yapılan hatalar

Tek kalp atışı bağlantısı. O kablo koparsa iki cihaz da kendini birincil sanar (split-brain) ve ağ karışır. Mutlaka iki kablo kullanın.
Araya switch koymak. Kalp atışı bağlantısı doğrudan kablolanmalı.
Yönetim arayüzünü ayırmamak. Yedek cihaza ayrı erişemezseniz sorun giderme zorlaşır.
Devri hiç test etmemek. En yaygın hata bu. Kurulur, çalışıyor sanılır, gerçek arızada beklenmeyen davranış görülür.

Test edilmemiş HA bir varsayımdır. Kurulumdan sonra ve yılda bir kez, bakım penceresinde devir testi yapın.

Maliyet tarafı

HA için ikinci bir cihaz ve genellikle ikinci bir lisans gerekir. Yani yaklaşık iki katı maliyet.

Karar için basit bir hesap: firewall bir gün çalışmazsa kaybınız ne kadar? Personel maliyeti, duran satış, gecikmiş teslimat. Bu rakam ikinci cihazın yıllık maliyetinden büyükse HA kendini karşılar.

Küçük bir kaybınız varsa rafta yedek cihaz daha akılcıdır. Bu hesabı birlikte yapabiliriz.