1-0 Instalando o Firewall Aker - Data - Aker Security Solutions

Além de estarem conectadas entre si, o que deve ser feito por uma interface de rede, é
necessário que todas as placas de rede correspondentes das duas máquinas estejam
conectadas em um mesmo hub ou switch, de forma que ambos os firewalls tenham
acesso às mesmas máquinas e roteadores.
Como trabalha o sistema Cooperativo do Firewall Aker ?
Antes de tudo a diferença básica da configuração do cluster cooperativo e do failover
esta vinculada à licença. A licença do cluster cooperativo faz com que a convergência
de dois firewalls com pesos iguais seja de 50% para cada um, já a licença do failover faz
com que ocorra convergência em apenas um dos firewalls.
O que são modos UNICAST e MULTICAST do sistema Cooperativo do
Firewall Aker ?
No Firewall Aker em modo cooperativo, mais de um host - os nodos do cluster -
precisam receber os mesmos pacotes, para posteriormente cada um deles decidir se é de
sua responsabilidade ou não. Como os switches não estão preparados nativamente para
isso, uma de duas técnicas precisa ser empregada.
A primeira, chamada de modo unicast, implica em reconfigurar o switch para que ele
saiba que um determinado endereço ethernet (MAC) está em duas ou mais portas
simultaneamente, significando que ele deve copiar o pacote com esse endereço destino
em todas elas, e jamais aprendê-lo como estando em uma porta apenas. Nesse modo,
todos os firewalls do cluster usam o mesmo endereço MAC. O único incoveniente desse
modo é que são raros os switches que o suportam.
A segunda, modo multicast, faz com que os firewalls de um cluster registrem um
endereço ethernet multicast em suas interfaces e respondam as chamadas de ARP para o
IP virtual com esse endereço. Se o switch não for configurado para limitar o
espalhamento de pacotes multicast, todos os pacotes destinados ao firewall serão
redistribuídos em todas as portas, como se fossem pacotes broadcast. Para fazer essa
configuração, existem duas opções: ou se faz manualmente no switch, ou então se usa o
protocolo IGMP, onde cada firewall anuncia ao switch que é membro do grupo
multicast correspondente ao endereço escolhido. Seu switch deve suportar uma dessas
duas opções. Além disso, existem alguns roteadores que não aprendem o endereço
multicast ethernet da resposta ARP enviada pelo firewall. Nesses casos, as entradas para
o firewall devem ser adicionadas manualmente em suas tabelas.
Existem implicações sérias de performance (flooding, por exemplo) e segurança
(requisição de associação IGMP por qualquer host da rede) no caso de cluster no modo
multicast. Todos os problemas podem ser evitados com corretas configurações nos
switches. Tenha certeza que você entende o funcionamento desse modo antes de colocálo
em funcionamento.
Quando o cluster estiver no ar, qualquer alteração feita nas configurações de um
firewall através da interface gráfica será replicada automaticamente para o outro
firewall.