Q&A
> シングル構成のFortiGateをHA構成
上記意味が理解できておりませんが、シングル構成に1台追加してHA構成にしたいということでしょうか?
シングル構成とHA構成は排他関係との理解でおり、確認させて頂きたく。
前提・実現したいこと
シングル構成のFortiGateをHA構成にしたいと思っています。
基本的には、シングル構成の設定を踏襲したいので、ポートの設定などは変更せずに
HAの設定のみを変更する形が理想です。
なのでハードウェアスイッチをモニターポートにする方法をわかる方いましたら教えて頂きたいです。
発生している問題・エラーメッセージ
シングル構成では、モニターしたいポートがハードウェアスイッチで設定されており、
HAを組んだ際に、ハードウェアスイッチがモニターポートとして選択できないようで、
障害を起こした際にうまくフェールオーバしない状態になっております。
試したこと
ハードウェアスイッチから、対象のポートを切り離してモニターポートにすることはできましたが、
ハードウェアスイッチにNATの設定など紐づいてるため、複数個所を変更しないといけませんでした。
補足情報（FW/ツールのバージョンなど）
FortiGate60Eを使用しています。
説明が抜けておりました。現在シングル構成で動いているネットワークを冗長構成に組み替えるために、ルータ、FWを各々1台から2台に増設致します。構成はL３の上にFWでその上にルータがあり、そこから外に抜ける構成になっております。FWはL3との接続ポートがハードウェアスイッチで設定されており、ルータ側は独立したポートで設定してあります。現状はFWがL3側のポートをモニターできないので、L３側のメイン側が通信断になるとL3は切り替わってバック側から通信しようとしますが、FWは切り替わらずに、メイン側が動作しているのでそこで通信ができない状態になっております。
FortiGateのHAポートは通常のパケットは通しませんが、
そこはご存知ですよね。
そこが判らず渡りをあてにした冗長構成だと失敗します。
ご連絡ありがとうございます。
HAポートが通信を通さない事は把握しております。
L3側のポートをモニターポートとして監視し、L3のメイン側と通信断が発生したら、L3と一緒にバック機器に切り替わる構成にしたいと思っております。
ただ、L3側のポートがハードウェアスイッチとして設定してるポートで、モニターポートに出来ていないので、そこを改善出来ればと思っています。
＞＞ただ、L3側のポートがハードウェアスイッチとして設定してるポートで、モニターポートに出＞＞来ていないので、そこを改善
うちもFortiGateがたくさんデータセンターで寝っ転がっていますしHA構成も
いくつか組んでいますが、そこまで突っ込んだ話だと下手な事は言えないですし、
ネットワーク担当に聞くわけにもいかない（ま、私はそのネットワーク設定作業の
レビューする立場ですが・・）
うーん・・ベンダーに訊けないですか？
回答頂きありがとうございます。
作業日まで時間もあって、検証できる環境もあるので、もう少し調べてみて、それでも解決しないようだったらベンダーに聞いてみます‼︎
> ハードウェアスイッチとして設定してるポートで、モニターポートに出来ていない
こちらについては仕様に関わる、またはバグか判断つきませんでした。
> L3側のポートをモニターポートとして監視し、L3のメイン側と通信断が発生したら
こちらについては、通信断で切り替わるのは対抗ノードへのモニタリングではないですか?
ポートモニタリングだとリンクダウンがトリガーになるとの理解です。
ハードウェアスイッチはモニターポートに指定できない仕様となっていたはずです。
なので、以下の2つの解決方法になるかと思います。
１．ハードウェアスイッチから、対象のポートを切り離してモニターポートに設定する。
２．モニターポートでの監視はやめて例えばL3SWへのPing監視をHA切り替わりのトリガーして設定する。
ここら辺が参考となりそうです。
https://docs.fortinet.com/document/fortigate/6.0.0/handbook/252877/remote-link-failover
上記2つの設定の場合、２の方が複雑な設計となってしまうので多少面倒でも１の方法の方が単純でいいかと思います。
回答1件
0
ベストアンサー
ハードウェアスイッチはモニターポートに指定できない仕様となっていたはずです。
なので、以下の2つの解決方法になるかと思います。
１．ハードウェアスイッチから、対象のポートを切り離してモニターポートに設定する。
２．モニターポートでの監視はやめて例えばL3SWへのPing監視をHA切り替わりのトリガーして設定する。
ここら辺が参考となりそうです。
https://docs.fortinet.com/document/fortigate/6.0.0/handbook/252877/remote-link-failover
上記2つの設定の場合、２の方が複雑な設計となってしまうので多少面倒でも１の方法の方が単純でいいかと思います。
投稿2020/09/28 13:29
総合スコア11
ご丁寧に解答いただきありがとうございます。
やはりハードウェアスイッチは出来ない仕様になっているんですね。
フォーティはあまり触る機会もないのでいい機会と思って、1番の方法で色々と設定してみます‼︎
ありがとうございました。
あなたの回答
tips
プレビュー
