Fortigate製のFW2台でHA構成を組みその配下にスイッチを1台接続した場合、ループするのでしょうか？

Question

Fortigate製のFWを2台、Active-Standby構成でHAを組み
2台のFWからそれぞれ1台のL2スイッチもしくはバカハブに対してケーブルを接続します。

この構成を取った場合、L2スイッチ、バカハブそれぞれを接続した場合に
ループ構成となってしまうのかどうかをどのようにして考えたら良いのでしょうか。

FWはトランスペアレントモードで動作させる想定です。

単純にL2スイッチを3台使って三角形を描くようにケーブルを繋げばループすることはわかるのですが
FWとなった場合にどのような動作をするのかがよくわかりませんでした。

お手数ですがご教示いただけないでしょうか。

Answer 1

Fortigate製のFWを2台、Active-Standby構成でHAを組み

システムの設計理論として HA （ ハイ・アベイラビリティ (High Availability) ）にする方法は、多種多様ありますので、一概にコレと言えないのです、が。

、、、よく見るとこの質問は Fortigate のHA機能を利用することを指しているのだろうと思います。

それでしたら、TCP/IP ネットワークの中でループになることはないでしょう。

なぜならメーカーのFAQで見る限り、2台のハードウェア（Fortigate）が、同一の 仮想のMAC address を
引き継ぐ方式になっていたからです。

なお仮想 MAC Address は、グループIDやバーチャルクラスタ番号で決まるとのこと

HA構成時の仮想MACアドレスは定義されています。
00-09-0f-09-<group-id_hex>-<vcluster_integer>+<idx>

ここに書いてありました。

HA構成のFortiGate間でMACアドレスが重複します
https://csps.hitachi-solutions.co.jp/fortinet/faq/FG-41-0026/index.html

Comments

[Kou4]

ご回答いただきありがとうございます。
そして質問文が曖昧で失礼しました。
ご認識の通り、FGCPを利用する想定の構成を前提とした質問のつもりでした。

頂いたURLも拝見しましたが、FortigateのHA機能を利用した場合、仮想MACアドレスが用いられるということは
L2ネットワークで見れば２台のFWは単一のMACアドレスを持つ１台の機器のように見えるため、ループ構成とはならない。
という理解をしました。

もし理解が間違っているようでしたら訂正いただけますと幸いです。

[Yoshi88]

はい「L2ネットワークで見れば２台のFWは単一のMACアドレスを持つ１台の機器のように見えるため、ループ構成とはならない。」という意味です。

また今回の質問は、メーカー独自機能に関する内容ですので、直接メーカー（もしくは購入元）に問い合わせるほうがより良いでしょうね。
「一般的な知識を前提に製品を購入したら想定外の動作をしてしまいトラブルに発展した。」という話はときどき耳にしますから。

[Kou4]

ご回答ありがとうございます。
理解できました。

確かにメーカー独自機能ですので、詳細はメーカーに確認したほうが確実そうですね。
ありがとうございました。