NetdefendOS_2.27.01_Firewall_User_Manual_RUS

Совместно используемые IP-адреса и протокол ARP
Для Master-устройства и slave-устройства установлен один совместно используемый IP-адрес. ARPзапросы
на получение совместно используемого IP-адреса или любого другого IP-адреса
публикуются через раздел конфигурации ARP или через Proxy ARP и обрабатываются активной
системой.
Аппаратный адрес совместно используемого IP-адреса и других опубликованных адресов не связан с
реальными аппаратными адресами интерфейсов. Напротив, MAC-адрес задается операционной
системой NetDefendOS в виде 10-00-00-C1-4A-nn, где nn – это комбинация из идентификатора
кластера (Cluster ID), задаваемого в разделе «Расширенные настройки» (Advanced Settings) и
аппаратной шины / слота / порта данного интерфейса. Идентификатор кластера должен быть
уникальным для каждого кластера сети.
Т.к. совместно используемый IP-адрес всегда имеет один аппаратный адрес, то при возникновении
сбоя не возникнет задержек во время обновления ARP-кэша устройствами, находящимися в одной
локальной сети с кластером.
Когда одно из устройств кластера обнаруживает, что второе устройство не функционирует, оно
начинает широковещательную рассылку Gratuitous ARP-запросов на все интерфейсы, используя
совместно используемый аппаратный адрес в качестве отправителя. Это позволяет коммутаторам в
течение миллисекунд переопределить, куда отправлять пакеты, предназначенные для совместно
используемого адреса. Определить, что произошел сбой в работе активного устройства можно только
по задержке, возникающей из-за восстановления системы.
Для того чтобы коммутаторы всегда имели правильный совместно используемый аппаратный адрес
для отправки по нему пакетов, периодически производится широковещательная рассылка ARPзапросов.
Процесс обновления антивирусных и IDP-баз в отказоустойчивом кластере
Если кластер с операционной системой NetDefendOS имеет антивирусную подсистему или
подсистему обнаружения и предотвращения вторжений (IDP), то периодически будет возникать
необходимость обновления баз вирусных сигнатур. Такие обновления подразумевают загрузки с
внешних баз D-Link, а также требуют внесения изменений в конфигурацию для активации
содержимого новых баз.
Обновление базы данных подразумевает следующую последовательность операций в HA-кластере:
6. На активное устройство (master) загружаются файлы новой базы данных с серверов D-
Link. Загрузка производится через совместно используемый IP-адрес кластера.
7. С активного устройства (master) файлы новой базы данных отправляются второму
неактивному устройству.
8. Для активации файлов новой базы данных на неактивном устройстве (slave)
изменяется конфигурация.
9. Затем на активном устройстве (master) изменяется конфигурация для активации
файлов новой базы данных путем инициации восстановления системы и переключения
на slave-устройство.
10. После того, как изменение конфигурации master-устройства завершено, происходит
обратное переключение, и master-устройство снова становится активным.
Разрыв sync-соединения
В HA-кластере может произойти разрыв sync-соединения между master- и slave-устройствами, и в
результате неактивное устройство не будет получать пакетов обнаружения и обновляемых данных о
состоянии активного устройства.
Следствием возникновения такого сбоя будет ситуация, когда оба устройства кластера будут
продолжать функционировать без синхронизации друг с другом. Другими словами, неактивное
устройство уже не будет иметь корректную копию состояния активного устройства. Но обработка
ситуации отказа не произойдет, т.к. неактивное устройство определит разрыв sync-соединения.
466