XG2100 HA-Cluster Alias auf dem management-Interface

Du kannst grundsätzlich ein Management Interface anlegen. Dieses Interface kann überall liegen. 

Das ist die sogenannte Peer Administration IP. Darüber kommst du auf die AUX Appliance.

Die Haupt Appliance ist erreichbar über alle Gateway IPs, die du hast, solltest du die Zone in ACLs freigegeben haben. 

Ein zusätzliches Alias Interface macht in der Regel nicht viel Sinn, wenn du sowieso ein Interface in dem Netzwerk hast. 

Hallo Lucar,

vielen Dank. Die Idee habe ich mittlerweile wieder verworfen, weil sie wirklich nicht viel Sinn macht und leider auch nicht supportet wird.

Der Hintergrund meiner Frage kommt aus der folgenden Situation:

Bei unserem Kunden müssen die IP-Adressen eines laufenden HA-Clusters (XG2100 mit Release 19.5) geändert werden. Die neuen IPs liegen im gleichen Netz /24.

Ich suche aktuell einen Weg um die Änderung im laufenden HA-Betrieb zu machen.

Im HA-Modus komme ich nicht an die passive Maschine, daher denke ich aktuell drüber nach, nur auf der aktiven Maschine die IP zu ändern. Also die bestehende IP-Adresse auf dem LAG0-Interface gegen die neue zu ändern.

Ich gehe davon aus, das ich mit dem Speichern den Management-Zugang auf das Cluster verliere und das auch der produktive Traffic ins Leere geht. Falls aber der Cluster danach unter der neuen IP-Adresse erreichbar wäre, könnte parallel die interne Firewall auf die neue IP des Cluster geändert werden und alles wäre wieder okay.

Rolf

Über Central Management kommst du immer auf die Weboberfläche, egal welche IP du hast. Dafür sorgt das WAN Interface und Central. 

Das Cluster bedient aktuell nur REDs und hat kein WAN-Interface.

Das LAG0-Interface ist quasi das einzige Interface. Der externe Traffic von den REDs wird auf einer exterenn Firewall genattet und dann auf das LAG0-Interface geroutet.

Daher denke ich, das ich den Management-Zugang verliere und auch der produktve Traffic betroffen ist. Die alte  IP-Adresse ist nach der Änderung nicht mehr vorhanden.

Rolf

Nur REDs aber kein Internet? Also USB Deployed REDs über MPLS?

RED Deployment über den Sophos Service, also über das Internet. Die Default Route zeigt auf die externe Firewall und kann darüber ins Internet. Die externe Firewall hat das Interface auch im /24er Netz.

Rolf

Hallo Lucar,

aktuell sehe ich keinen Weg die IP-Adressen im laufenden HA-Modus zu ändern.

Ich werde zuerst den HA-Modus deaktivieren müssen und dann jeweils bei beiden Maschinen die IP-Adressen auf den LAG-Interface ändern.

Danach HA wieder aktivieren.

Das scheint das einzig zielführende Verfahren zu sein.

Rolf

Hallo Rolf,

ich verstehe nicht ganz. Du hast aktiv/passiv HA? Den Cluster auseinanderzureißen bringt garnichts.

Bei HA machst du alle Änderungen nur über den Master. Diese werden dann über den HA-link auf den Slave gesynct.

Am Slave gibt es keine Einstellungen, wenn HA erst mal aktiv ist. (Du kannst am Master eine IP für den Slave konfigurieren, um diesen zu überwachen... mehr macht dort nicht Sinn)

Wenn ich eine schwerwiegende Änderung am einzigen zugänglichen Port mache, lege ich vorher ein Notinterface an.

Das kommt in einen eigenen Adressbereich und ich aktiviere manchmal auch DCHP da drauf.

Dann kann ich/der Kunde mit einem Notebook direkt an diesen Port (am jeweiligen Master). 

Bestenfalls die Änderung gleich von dort aus machen. Sicher ist sicher..

Hallo Dirk,

melde mich mit einer PM.

Rolf