FortiGate HA Nedir? Aktif-Pasif ve Aktif-Aktif Ne Zaman Gerekir?

FortiGate HA nedir?

FortiGate HA (High Availability, yüksek erişilebilirlik), iki veya daha fazla FortiGate güvenlik duvarının tek bir mantıksal cihaz gibi çalışacak şekilde kümelenmesidir. Bir cihaz arızalandığında, güç kaybettiğinde veya bağlantısı koptuğunda trafik otomatik olarak diğer cihaza devredilir; böylece internet, VPN ve şubeler arası bağlantı tek bir donanıma bağımlı kalmaz.

Güvenlik duvarı, kurum ağında tüm trafiğin geçtiği noktadır. Tek cihazla çalışan bir yapıda bu cihazın arızası, yalnızca internetin değil; ERP, e-posta, VPN ve şube bağlantılarının da durması demektir. HA, bu tek arıza noktasını ortadan kaldırmanın en yaygın yoludur. Firewall kavramına yeni başlıyorsanız önce firewall nedir yazımıza göz atabilirsiniz.

FortiGate tarafında HA kümeleri çoğunlukla Fortinet'in FGCP (FortiGate Clustering Protocol) protokolüyle kurulur. Küme üyeleri, adanmış heartbeat (kalp atışı) bağlantıları üzerinden birbirini izler, yapılandırmayı senkronize eder ve hangi cihazın birincil (primary) olacağına karar verir.

HA kümesi nasıl çalışır?

Bir FGCP kümesinde yönetim ve yapılandırma birincil cihaz üzerinden yapılır; değişiklikler diğer üyelere otomatik aktarılır. Temel bileşenler şunlardır:

• Heartbeat bağlantıları: Cihazlar arasındaki doğrudan bağlantılardır. Üyeler birbirinin canlı olduğunu bu hatlar üzerinden kontrol eder. Tek heartbeat hattının kopması istenmeyen geçişlere yol açabileceği için genellikle en az iki heartbeat bağlantısı önerilir.
• Yapılandırma senkronizasyonu: Kural, nesne ve ayar değişiklikleri birincil cihazdan diğerlerine aktarılır; cihazları tek tek yönetmeniz gerekmez.
• Oturum aktarımı (session pickup): Etkinleştirildiğinde, mevcut oturum bilgileri yedek cihaza da kopyalanır. Böylece geçiş anında bazı bağlantılar kopmadan devam edebilir. Hangi oturum türlerinin aktarılabildiği sürüme ve yapılandırmaya göre değişir.
• Bağlantı izleme (link/port monitoring): Kritik arayüzler izlenir; örneğin birincil cihazın internet bacağı koparsa trafik yedek cihaza geçebilir.
• Sanal MAC adresleri: Küme, dış dünyaya ortak sanal MAC adresleriyle görünür; geçişten sonra anahtarların ve sunucuların yeni cihazı tanıması kolaylaşır.

FGCP dışında, bağımsız cihazlar arasında oturum senkronizasyonu sağlayan FGSP gibi farklı yaklaşımlar da bulunur. Hangi yöntemin uygun olduğu ağ topolojisine bağlıdır.

Aktif-pasif ve aktif-aktif arasındaki fark nedir?

Aktif-pasif modda trafiği yalnızca birincil cihaz işler, yedek cihaz hazır bekler; aktif-aktif modda ise bazı trafik türlerinin işlenmesi küme üyeleri arasında paylaştırılır. İki modda da cihazlardan biri arızalanırsa diğeri trafiği devralır.

Önemli bir ayrıntı: aktif-aktif mod her trafiği eşit şekilde bölmez. Yük paylaşımı daha çok antivirüs, web filtreleme, IPS gibi içerik denetimi gerektiren oturumlarda devreye girer ve kazanç, trafik profiline göre değişir. Ayrıca arıza anında kalan tek cihazın yine tüm yükü taşıması gerekir; bu nedenle aktif-aktif, kapasitesi yetersiz bir cihazı "iki taneyle idare etmenin" yolu olarak görülmemelidir. Kesin davranış için kullandığınız FortiOS sürümünün güncel dokümantasyonu esas alınmalıdır.

Hangi durumda aktif-pasif yeterlidir?

Çoğu kurum için aktif-pasif HA, kesintisizlik ihtiyacını sade bir yapıyla karşılar. Şu durumlarda genellikle ilk tercih budur:

• Amaç yalnızca donanım arızasına, güç kaybına veya bağlantı kopmasına karşı hazırlıklı olmaksa
• Seçilen model, öngörülen trafiği ve açık güvenlik profillerini tek başına rahatça taşıyabiliyorsa
• BT ekibi küçükse ve sorun gidermenin sade kalması önemliyse
• Ağda yük dengelemesi başka katmanlarda (ör. SD-WAN, sunucu tarafı) zaten yapılıyorsa

Aktif-pasif yapının bir başka avantajı, firmware güncellemelerinin ve bakım işlemlerinin daha öngörülebilir yürütülmesidir. FortiOS güncellemesinde küme üyelerinin hangi sırayla yükseltileceği önemlidir; bu konuyu FortiOS güncellemesi nasıl planlanır yazımızda ayrıca ele aldık.

Aktif-aktif ne zaman gerekir?

Aktif-aktif mod; yoğun SSL denetimi, IPS ve antivirüs taraması yapılan, cihaz kaynak kullanımının yüksek seyrettiği yapılarda değerlendirilir. Ancak karar vermeden önce şu sorular cevaplanmalıdır:

1. Darboğaz gerçekten içerik denetiminde mi? Cihaz kaynak kullanımı ve oturum sayıları incelenmeden aktif-aktif'e geçmek beklenen faydayı sağlamayabilir.
2. Arıza anında ne olacak? Bir cihaz devre dışı kaldığında kalan cihaz tüm yükü taşıyamıyorsa, aktif-aktif yapı arıza anında performans sorunu yaşatır.
3. Daha büyük bir model daha mı mantıklı? Bazen bir üst modelle aktif-pasif kurmak, iki küçük modelle aktif-aktif kurmaktan daha sade ve öngörülebilir sonuç verir.
4. Ekip karmaşıklığı yönetebilir mi? Asimetrik trafik, log takibi ve sorun giderme aktif-aktif yapıda daha fazla deneyim ister.

Model seçimi ve kapasite planlaması için FortiGate modelleri ve seçim rehberi sayfamızdan yararlanabilirsiniz. Kesin model performansı için güncel üretici veri sayfası esas alınır.

HA kurulumu için hangi ön koşullar gerekir?

FGCP ile HA kurmak için küme üyelerinin genellikle aynı model ve aynı donanım sürümünde olması, aynı FortiOS sürümünü çalıştırması ve benzer lisans durumuna sahip olması gerekir. Kurulum öncesi kontrol listesi:

• [ ] İki cihaz da aynı model ve aynı FortiOS sürümünde
• [ ] Heartbeat için en az iki ayrı arayüz ayrılmış ve doğrudan bağlanmış
• [ ] Her cihaz için ayrı yönetim erişimi (reserved management interface) planlanmış
• [ ] Anahtar (switch) tarafında her iki cihazın arayüzleri aynı VLAN'lara bağlanmış
• [ ] İzlenecek kritik arayüzler (WAN, LAN, sunucu bacağı) belirlenmiş
• [ ] Oturum aktarımı gereksinimi değerlendirilmiş
• [ ] Cihazların farklı güç kaynaklarına (mümkünse farklı UPS'lere) bağlanması planlanmış
• [ ] Geçiş testi için bakım penceresi belirlenmiş

Cihazları aynı rafa, aynı prize ve aynı anahtara bağlamak HA'nın faydasını önemli ölçüde azaltır. Fiziksel tasarım, en az mantıksal yapılandırma kadar önemlidir.

HA'da lisanslama nasıl işler?

FortiGate HA kümesindeki her cihaz ayrı bir fiziksel donanımdır ve FortiGuard/FortiCare abonelikleri genellikle cihaz seri numarası bazında tanımlanır. Bu nedenle küme üyelerinin lisans durumlarının uyumlu olması önemlidir; aksi halde geçiş sonrasında bazı güvenlik servisleri beklendiği gibi çalışmayabilir.

Yedek cihazın hangi abonelik paketiyle lisanslanacağı, model, paket içeriği ve üreticinin güncel lisans koşullarına göre değişir. Bu ayrıntı teklif aşamasında netleştirilir; kesin paket içerikleri için güncel üretici paket tablosu esas alınır. Lisans paketlerinin farkları için FortiGate lisans paketleri yazımıza, maliyeti etkileyen kalemler için FortiGate fiyatları sayfamıza bakabilirsiniz.

HA kurulum süreci nasıl işler?

HA projesini mevcut tek cihazlı bir yapıya eklemek veya sıfırdan kurmak mümkündür. Süreç genel olarak şöyle ilerler:

1. Keşif: Mevcut topoloji, kural tablosu, VPN'ler, arayüzler ve trafik yükü incelenir.
2. Tasarım: Mod (aktif-pasif / aktif-aktif), heartbeat, izlenecek arayüzler, yönetim erişimi ve fiziksel bağlantı şeması belirlenir.
3. Hazırlık: Cihazlar aynı FortiOS sürümüne getirilir, yapılandırma yedeği alınır.
4. Kümeleme: HA ayarları yapılır, yapılandırma senkronizasyonu doğrulanır.
5. Geçiş testleri: Bakım penceresinde kablo çekme, cihaz kapatma ve arayüz kopması senaryoları denenir; VPN ve kritik uygulamaların davranışı izlenir.
6. Dokümantasyon: Tasarım, test sonuçları ve geri dönüş adımları belgelenir.

Kurulum ve yapılandırma kapsamını firewall kurulumu ve yapılandırma hizmet sayfamızda ayrıntılı anlattık.

Kimler için HA önerilir?

HA, kesinti maliyetinin yüksek olduğu her kurum için değerlendirilmeye değerdir. Özellikle:

• Çok şubeli yapılarda merkez lokasyondaki güvenlik duvarı
• Üretim hattı, depo veya mağaza operasyonu internet ve VPN bağlantısına bağımlı kurumlar
• Uzaktan çalışanların VPN ile şirket kaynaklarına eriştiği yapılar
• E-ticaret, sağlık veya finans gibi hizmet sürekliliği kritik sektörler

Küçük ofislerde HA yerine yedek cihaz bulundurmak veya hızlı donanım değişimi içeren destek sözleşmesi de bir seçenek olabilir; ancak bu yaklaşımda geçiş otomatik değildir ve kesinti süresi daha uzun olur.

Sonuç

FortiGate HA, güvenlik duvarını tek arıza noktası olmaktan çıkarır. Çoğu kurum için aktif-pasif mod sade ve yeterli bir çözümdür; aktif-aktif ise yoğun içerik denetiminde ve iyi bir kapasite analizinden sonra anlam kazanır. Hangi mod seçilirse seçilsin, fiziksel tasarım, lisans uyumu ve düzenli geçiş testleri HA'nın gerçekten işe yaramasını sağlar.

Mevcut yapınıza HA eklemek veya yeni bir kümeyi tasarlamak için firewall teklifi isteyebilirsiniz.