122323047-pfsense-carp-manual-espanol.pdf
TRANSCRIPT
-
Alta disponibilidad (HA): pfSense (CARP + pfsync)
Quin vive la realidad de mantener una infraestructura de TI con servicios importantes que
deben (o al menos deberan) estar siempre operativos, sabe que la redundancia de los
sistemas es de suma importancia.
Este documento tiene por objeto demostrar el uso de esta redundancia presente en el
sistema de firewall de cdigo abierto pfSense , que utiliza los recursos del CARP y pfsync , la
funcionalidad de FreeBSD es la base de este servidor de seguridad. El funcionamiento de este
grupo es failover HA (activo-pasivo), ante la falta de disponibilidad del nodo "maestro" el
nodo "esclavo" asume el Cluster IPs y mantiene conexiones activas. La versin utilizada es
1.2.3-Release, que es la versin estable ahora.
Topologa utilizada
Hemos realizado una instalacin predeterminada de pfSense. Las mquinas, por
recomendacin de la funcionalidad requiere una interfaz independiente para la sincronizacin
de la tabla de estados. As que se quedaron con tres interfaces: LAN, WAN y Sync.
La configuracin de alta disponibilidad men de inicio "Firewall" en la opcin de "IPs
virtuales". Dentro de la pestaa "Ajustes CARP" se configura las opciones de pfsync y
sincronizacin entre servidores de seguridad.
-
Configuracin del maestro
-
Continuando con la configuracin de nodo esclavo
CARP configuracin de nodo esclavo
-
Despus de este paso, toda la configuracin se realiza en el nodo maestro (reglas, NAT, ips
virtuales, etc) y sincroniza automticamente con el nodo esclavo.
Antes de la creacin del Cluster IPs virtuales, se cre una regla para la interfaz SYNC que
permitiendo la libre comunicacin (Reglas de cortafuegos, ficha SYNC).
Continuando con la creacin de las direcciones IP virtuales para clsteres (Firewall, IPS
virtual). El vhid debe ser nico para cada grupo de IPs virtuales.
Configuracin de clster IP LAN
-
Ips Cluster Virtual configurado.
Realiza estos ajustes, el modo de funcionamiento Manual modificado para salida NAT regla
de generacin de NAT (Firewall, NAT, saliente), y poner la traduccin en el campo de la IP
virtual WAN (10.1.1.15).
-
Terminado esto, Cluter alta disponibilidad ya est trabajando. Es posible visualizar el estado
de funcionamiento del men Interfaces Virtual "Estado" en el "CARP (conmutacin por error)."
CARP maestro estatus
CARP condicin de esclavo
-
Por ltimo, he grabado un vdeo que demuestra la funcionalidad en tiempo real. Es posible
percibir el momento del "punto de inflexin" donde el nodo esclavo asume la IP virtual, as
como la continuidad de la descarga se realiza y grficos de trfico entre las mquinas.
http://altairum.blogspot.com.es/2011/03/alta-disponibilidade-ha-pfsense-carp.html