Problem mit XG210 HA-Cluster a/p

Bei einem Takeover dauert der Webadmin einige Zeit, um wieder erreichbar zu sein. Das ist ein gewolltes Verhalten und betrifft nur den Webadmin.

Wenn WAN Ports nicht erreichbar sind, scheint es mir ein Switch Thema zu sein. Die Modems / Connection zum ISP scheint wohl ein Problem mit der Virtual Mac zu haben? 

Danke für die Antwort. 

Ok, das ist wirklich gewolltes Verhalten, dass bei Übernahme mehrere Minuten kein Traffic gesteuert wird? Wie erwähnt gehen wir von den DC-Switchen direkt in die die Sophos die also als Gateway für alle Netze dient. Wenn der Webadmin nicht erreichbar ist, wird die gesamte Appliance als Gateway nicht erreichbar sein?!? Wir haben leider keinen Ping laufen lassen, als wir den Test gemacht haben. 

Was könnte das für eine Ursache am Switch haben, wenn die gleiche Leitung vorher an der ersten Appliance funktioniert, allerdings nach Abschalten an der 2ten nicht?

Ich spreche vom Webadmin, nicht dem Traffic. Der Webadmin ist länger nicht erreichbar. Netzwerk Übernahme sollte sofort passieren ohne Downtime. Wenn du überall Probleme hast, solltest du den Switch näher betrachten. 

Wir arbeiten mit virtual IP und virtual MAC: docs.sophos.com/.../index.html

ok, danke habe ich soweit verstanden. 

Blöd gefragt:

Muss an dem Switch-Paar eine besondere Config gemacht werden, um mit Virtual-IP und Virtual-Mac umgehen zu können? Was könnte dann nach etwa 5 Minuten passieren, dass es dann doch plötzlich geht?

Das würde zwar dann zumindest das Problem mit dem LAN erklären, aber nicht mit dem WAN. 

Vielleicht noch ergänzend: Die Einwahl beim ISP erfolgt ebenfalls durch die Sophos. Kann es sein, dass die Cluster-Slave die Einwahl nicht aktiv vollzieht bzw. aufbauen kann?

Switche können das als ARP Spoofing interpretieren, wenn die MAC Adresse wechselt. 

Das bedeutet die zweite Appliance nutzt die MAC von der ersten Appliance. Es gibt ARP Spoofing oder MAC spoofing in Switchen, die müsste man deaktivieren. 

Ok, danke. 

Ich werde das mal versuchen. 

Das Problem mit dem WAN bleibt jedoch. 

Hier hangen zwischen DSL-Modem und Sophos nur ein unmanaged Switch pro WAN. Die dürften damit ja keine Probleme haben, oder? 

Ein ungemanagter switch kann natürlich auch ein Problem mit "springender" MAC haben. Auch, wenn das hier sicher nicht als Sicherheitsfeature vorgesehen ist. 

Um was für einen Internet-Anschluss handelt es sich denn? Was für ein Switch ist dazwischen? 

Bein Failover sind wenige Sekunden Traffic-Unterbrechung normal. Ein Ping auf/über die FW sollte Auskunft geben.

An der Switch-Konfig ist die sich bewegende MAC meist das Problem. Auch STP und Ähnliches sollte an den Ports optimiert werden. 

Handelt es sich im DC um einen single-Switch, einen Stack? Ist LACP im Einsatz? Wie sind die Sophos-Ports darauf verteilt?

PS: ok, ein LAG ist im Einsatz. Hab ich jetzt erst gesehen. Die ist der LACP-Mode auf dem Switch? .. und wie sind die Sophos-Ports in den LAG-Gruppen verteilt? ... hoffentlich nicht eine LAG-Gruppe für Master und Slave zusammen?

Sind zwei ToR-Switche mit identischer a/a-Config. Jedoch sind die Ports an der die Slave-Sophos hängt in einer anderen PortChannelGroup als die der Primären.

Auf der Sophos sind beide Ports logisch in einem LAG und im LACP-Modus konfiguriert?

Hört sich erst mal gut an.

Ich werde das mal mit dem ARP versuchen und am WAN einen anderen bzw. keinen Switch probieren und schauen was dann passiert, wenn ich den Stecker ziehe. 

Vielen Dank schon mal für die Tipps

Nice Weekend

Den Strom-Stecker ziehen ist nicht wirklich nett.

Da ist ein laufendes Betriebssystem mit offenen Dateien drunter.

Meist verkraftet es das, ich würde aber erst mal mit Soft-failover testen.

Ja, der Soft hat funktioniert, Hart aber auch  

Das muss sie aushalten

Ja, der Soft hat funktioniert, Hart aber auch  

Das muss sie aushalten