Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 2 replies
  • Subscribers 26 subscribers
  • Views 5616 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

UTM9 HA Cluster mit 2 ESXi Hosts

Patrick Wagner1

Hallo zusammen,

 

zuerst mein, recht simpler, Aufbau:

  1. Host 1 (ESXi 6.5) mit utm1
  2. Host 2 (ESXi 6.5) mit utm2

WAN-Anschluss aus Cisco-Modem (vergibt dynamisch IPs) geht in einen HP-Switch. Von diesem wird an Host 1 und Host 2 verteilt. Beide Hosts haben eine dedizierte NIC. Somit hat sowohl utm1 eine eigene WAN-NIC als auch utm2. Über VCSA habe ich einen distributed Switch an beide Hosts verteilt. Die Portgruppen welche für die Interfaces "Intern", "WAN" und "HA" in der utm1 und utm2 verteilt wurden sind freigeschaltet für:

  • Promiscuous Mode
  • Mac-Adressänderungen
  • Gefälschte Übertragungen

In den vmx-Files der beiden UTM ist ferner gesetzt:

  • ethernet0.ignoreMACAddressConflict = "TRUE"  
  • ethernet1.ignoreMACAddressConflict = "TRUE"
  • ethernet2.ignoreMACAddressConflict = "TRUE"

Ferner habe ich noch unter der utm1, welche Master ist, über SSH Shell folgenden Befehl als root abgesetzt:

  • cc set ha advanced virtual_mac 0

Damit möchte die utm1 und utm2 im HA-Mode laufen lassen. Soweit haben sie sich auch gesynced. Doch wenn ich utm1 ausschalte springt utm2 nicht ein. Habe ich irgendwas vergessen?

 

Für Hilfe wäre ich dankbar!

Folgende Threads haben mir leider nicht geholfen:

https://community.sophos.com/products/unified-threat-management/f/management-networking-logging-and-reporting/34096/ha-virtual-mac-issue

https://community.sophos.com/products/unified-threat-management/f/hardware-installation-up2date-licensing/28602/utm9-active-passive-ha-on-vmware

https://www.adminpasbete.fr/cluster-ha-utm-sophos-9-x-sous-vmware/

Also nur falls man denkt ich hab's nicht versucht oder man auf diese verweisen möchte.



This thread was automatically locked due to age.
Parents
  • 0

    Während ich so schrieb und die beiden Systeme sich erneut syncten hatte ich ja keine Ahnung, dass es auf einmal gehen würde. Also sind die oberen Schritte unter ESXi 6.5 U1 + UTM 9.506-2 auf jeden Fall die richtigen um zum Ziel zu gelangen. Nun ja, somit hat man an dieser Stelle mal wenigstens eine zusammengefasste Informationsquelle wie es einem gelingt. Ausfallzeit 11 Pings beim Ausfall des Masters. Sobald dieser sich wieder einklinkt habe ich 3 Pings verloren. Ich kann mit beiden Situationen prächtig leben!

    Danke an die anderen Quellen!

Reply
  • 0

    Während ich so schrieb und die beiden Systeme sich erneut syncten hatte ich ja keine Ahnung, dass es auf einmal gehen würde. Also sind die oberen Schritte unter ESXi 6.5 U1 + UTM 9.506-2 auf jeden Fall die richtigen um zum Ziel zu gelangen. Nun ja, somit hat man an dieser Stelle mal wenigstens eine zusammengefasste Informationsquelle wie es einem gelingt. Ausfallzeit 11 Pings beim Ausfall des Masters. Sobald dieser sich wieder einklinkt habe ich 3 Pings verloren. Ich kann mit beiden Situationen prächtig leben!

    Danke an die anderen Quellen!

Children
  • 0 in reply to Patrick Wagner1

    TL;DR:

    Volles Kommando zurück, Setup hat leider nicht mehr funktioniert und zu Pingverlusten/Verbindungsabbrücken geführt.

    Nach einer Woche:

    Ab dem Zeitpunkt wo die UTM im HA lief und ich oben beschriebene Schritte durchgeführt hatte, traten Probleme im WLAN auf. Merkwürdig, denn der Accesspoint (Apple AirPort Extreme im Bridge-Mode) war am gleichen HP-Switch geklemmt wie alle anderen physikalischen Geräte über Kabel. Über Kabel kam es zu keinerlei Ping-Verlusten gegen die Aussenwelt (8.8.8.Acht).

    Doch mit allen iOS-Geräten hatte ich das Phänomen, dass die Verbindung bis zur Sophos (IP-Ping auf die UTM) tadellos funktionierte. Aber dann von dort nicht nach Draußen zu gehen schien.

    In der Firewall habe ich dazu Nix finden können ... keine Logeinträge -Nix! Die Pings hatten auf den iOS-Geräten kein TTL verzeichnet.

    Dann habe ich gewartet und mal den Accesspoint am Switch umgesteckt, auch einen anderen Access-Point habe ich genutzt - gleiches Phänomen. Allerdings wirklich immer nur mit den iOS-Geräten.

    Ebenfalls getestet habe ich die Funktionalität des HA-Modus, der ja bei meinem letzten Post funktioniert hat. Also UTM1 neu gestartet. UTM2 sprang rein, hatte aber bei der externen NIC als DefaultGW die UTM1 eingetragen - wieso das? Beim letzten Test hat das Setup funktioniert.

    Letzten Ende habe ich jetzt heute Morgen die Snapshots der UTM1 auf den Zustand vor der HA-Einstellung gesetzt und die Optionen oben, am distributed Switch, im VMware, wieder rückgängig gemacht. Also keine Akzeptanz von gefälschten MAC-Adressen etc.

    Vielleicht kann mir ja jemand helfen?