Работа с отказоустойчивым кластером

Вы можете настроить работу Kaspersky NGFW в составе кластера для обеспечения отказоустойчивого функционирования решения с помощью Консоли Open Single Management Platform. Отказоустойчивый кластер работает в режиме Активный-Пассивный по схеме 1+1, где один узел является основным и обрабатывает трафик, а другой находится в состоянии резерва.

Механизм кластеризации поддерживается только при использовании L3-интерфейсов. Если хотя бы один из интерфейсов Kaspersky NGFW работает в режиме мост (англ. Bridge), такое устройство не может быть добавлено в кластер. Поведение кластера в этом случае не определено.

Использование кластера позволяет минимизировать время простоя решения Kaspersky NGFW за счет аппаратной избыточности. В случае обнаружения аппаратных или программных сбоев на одном из узлов кластера решение автоматически запускается на другом узле. Время простоя при использовании параметров по умолчанию составляет не более секунды. При синхронизации сессий между узлами кластера передаются все активные сетевые сессии, за исключением сессий, подлежащих расшифровке при инспектировании TLS, и подлежащих проверке по профилям безопасности (Веб-контроль, Защита DNS-трафика и Антивирус).

В Kaspersky NGFW следующие оперативные данные подлежат автоматической синхронизации между узлами кластера:

• сессии транзитного трафика;
• таблицы маршрутизации (RIB);
• ARP-таблица;
• конфигурация узлов.

Для синхронизации данных между узлами кластера вы можете настроить от одного до трех физических интерфейсов синхронизации на каждом узле. Каждая пара соответствующих интерфейсов образует отдельный канал синхронизации. В каждый момент времени для обмена данными используется один канал.

Каждому интерфейсу синхронизации назначается уникальный приоритет от 0 до 2. Приоритет 0 является наивысшим. Kaspersky NGFW использует доступный канал с наивысшим приоритетом. Если активный канал становится недоступен, Kaspersky NGFW автоматически переключается на следующий доступный по приоритету и доступности канал. После восстановления канала с более высоким приоритетом этот канал снова становится активным.

Если недоступны все каналы синхронизации, кластер продолжает работать, но конфигурация, сессии и ARP-записи между узлами не синхронизируются. Синхронизация возобновляется автоматически после восстановления хотя бы одного канала.

Не используйте команды shell для изменения конфигурации кластера, так как в этом случае синхронизация настроек может быть нарушена. Это приведет к неконтролируемому поведению кластера. Изменяйте параметры синхронизации данных между узлами кластера только через Консоль OSMP.