NGFW Yüksek Erişilebilirlik: Aktif-Pasif, Aktif-Aktif ve Senkronizasyon

İki firewall koyup HA kümesi kurmak, failover’ın çalışacağı anlamına gelmez. Firewall internet çıkışının, şubeler arası VPN’in ve çoğu zaman iç bölgeler arası yönlendirmenin tek geçiş noktasıdır; tek cihazlı yapıda donanım arızası, firmware hatası veya bakım doğrudan iş kesintisidir. Yüksek erişilebilirlik (HA) bu riski azaltır, ama ancak senkronizasyon, heartbeat ve izleme doğru kurulduysa. Aşağıda HA modlarının gerçek davranışını, senkronizasyonun sınırlarını, split-brain riskini ve failover testini üretici bağımsız anlatıyoruz; örnekler FortiGate ve Palo Alto Networks terminolojisiyle.

Firewall HA neden ayrı bir tasarım konusudur

Router veya switch yedekliliğinde iki cihazın bağımsız çalışması çoğu zaman yeterlidir; yönlendirme protokolü trafiği sağlam yola taşır. Firewall ise durum bilgisi tutan (stateful) bir cihazdır: her TCP bağlantısının, NAT eşlemesinin, IPsec SA’sının ve kimlik eşleşmesinin bir kaydı vardır. Trafik bu kayıttan habersiz başka bir cihaza giderse cihaz paketi tanımadığı bir oturuma ait sayar ve düşürür. Kayıt yoksa geçiş yok. Bu yüzden kurumsal siber güvenlik altyapısında firewall HA’sı üç soruyu birlikte yanıtlamak zorundadır: trafiği hangi cihaz taşır, durum bilgisi nasıl kopyalanır, cihazlar birbirinin durumunu nasıl doğrular.

HA yalnızca firewall’un içini değil çevresini de kapsar. Tek bir çekirdek switch’e, tek bir internet hattına veya tek bir güç kaynağına bağlı iki firewall, kümenin sağladığı yedekliliği o çevresel tek arıza noktasına kaptırır. Sahada en sık gördüğümüz tablo budur: iki firewall, iki kablo, tek switch. Switch tarafındaki yedeklilik seçenekleri için network sitesindeki switch stack, MLAG ve vPC karşılaştırması yol gösterir.

Aktif-pasif ve aktif-aktif karşılaştırması

Aktif-pasif modda bir cihaz tüm trafiği taşır, diğeri durum bilgisini alarak bekler. Aktif-aktif modda iki cihaz da trafik işler; ancak bunun nasıl yapıldığı üreticiye göre ciddi biçimde değişir. FortiGate FGCP aktif-aktif modunda birincil cihaz trafiği alır ve bazı oturumların güvenlik incelemesini ikincil cihaza dağıtır. Palo Alto Networks ise aktif-aktif modu öncelikle asimetrik yönlendirme gibi özel topolojiler için konumlandırır ve bu modda paket yönlendirme için ek bir HA bağlantısı (HA3) gerektirir.

Ölçüt	Aktif-pasif	Aktif-aktif
Yapılandırma karmaşıklığı	Düşük	Yüksek
Sorun giderme	Trafik tek cihazda	Oturumun hangi cihazda olduğu izlenmeli
Asimetrik trafik	Genellikle desteklenmez	Üreticiye göre desteklenebilir
Arıza sonrası kapasite	Değişmez (tek cihaz)	Tek cihaza düşer
Uygun senaryo	Çoğu kurumsal kenar ve veri merkezi	Özel topoloji ve yük dağıtım ihtiyacı

Kapasitede tek kural var: aktif-aktif kümede toplam yük, tek cihazın taşıyabileceği değeri aşmamalı. Aşarsa arıza anında küme ayakta kalır ama trafiği taşıyamaz. Bu kural uygulandığında çoğu kurumda aktif-aktif modun getirisi sınırlı, karmaşıklığı ise belirgindir; arıza anında “oturum hangi cihazdaydı” sorusu sorun gidermeyi uzatır. Cihaz boyutlandırma ölçütleri kurumsal firewall seçimi rehberinde yer alıyor.

Oturum, yapılandırma ve durum senkronizasyonu

Senkronizasyonu üç katmanda düşünün:

• Yapılandırma: politika, nesne, VPN ve sistem ayarları birincil cihazdan ikincile kopyalanır. Arayüz IP’leri, HA önceliği ve yönetim arayüzü gibi cihaza özgü ayarlar genellikle senkronize edilmez. Değişiklikleri yalnız birincil cihazda yapmak bir işletim kuralı olmalı.
• Oturum tablosu: failover sonrasında açık TCP bağlantılarının devam etmesini sağlar. FortiGate’te oturum senkronizasyonu varsayılan olarak kapalıdır ve session-pickup ile açılır; UDP ve ICMP gibi bağlantısız oturumlar için ayrıca session-pickup-connectionless gerekir.
• Diğer durum bilgisi: IPsec SA’ları, DHCP kiralamaları, kullanıcı-IP eşlemeleri, routing tablosu. Hangilerinin senkronize edildiği üreticiye ve sürüme göre değişir.

Proxy tabanlı inceleme ve derin SSL incelemesi yapılan oturumlar çoğu üründe failover’da korunmaz; yeniden kurulur. Kullanıcı tarafında bu genellikle bir sayfanın yeniden yüklenmesiyle sınırlı kalır, ama uzun süreli dosya aktarımları ve bazı uygulama bağlantıları kopabilir. Hangi oturum türlerinin korunduğunu kullandığınız sürümün HA dokümantasyonundan (Fortinet, Palo Alto Networks) doğrulayın.

Örnek bir FortiOS aktif-pasif yapılandırması:

config system ha
    set group-name "FW-HA"
    set mode a-p
    set password <guclu-parola>
    set hbdev "port9" 50 "port10" 50
    set session-pickup enable
    set session-pickup-connectionless enable
    set override disable
    set priority 200
    set monitor "port1" "port2"
end

Burada iki heartbeat arayüzü (port9, port10) tanımlanır, oturum senkronizasyonu açılır ve port1 ile port2’nin bağlantı durumu izlenir. FortiOS’ta varsayılan değer olan override disable, arızadan dönen cihazın yeniden birincil olmak için kendiliğinden ikinci bir failover tetiklemesini önler. Geri dönüş planlı bir işlem olur. İkinci kesinti de yaşanmaz.

Heartbeat bağlantıları ve split-brain önleme

Cihazlar birbirinin canlı olduğunu heartbeat paketleriyle anlar. Tüm heartbeat yolları kesilirse iki cihaz da karşı tarafın öldüğünü varsayar ve aktif olur. Buna split-brain denir: aynı sanal IP ve MAC adresleri iki cihazdan duyurulur, switch’lerin MAC tablosu iki port arasında gidip gelir, oturumlar düzensiz biçimde kopar ve yapılandırmalar ayrışmaya başlar. Belirtisi de kafa karıştırıcıdır. Ağ “bazen” çalışır.

Önlemler:

• En az iki fiziksel heartbeat bağlantısı kullanın; mümkünse farklı arayüz modüllerinde ve doğrudan kabloyla.
• Palo Alto Networks’te kontrol bağlantısı (HA1) için yedek bağlantı (HA1 backup) veya yönetim arayüzü üzerinden heartbeat yedeği tanımlayın.
• Heartbeat trafiğini bir switch üzerinden taşımak zorundaysanız ayrı ve yalnızca bu amaçla kullanılan bir VLAN kullanın; bu VLAN’ı başka trafikle paylaşmayın.
• Heartbeat zamanlayıcılarını üreticinin önerdiği değerlerin altına çekmeyin; yoğun CPU anlarında yanlış failover üretir.
• HA durum değişikliği olaylarını SIEM’e aktarın ve iki cihazın aynı anda aktif göründüğü durum için ayrı bir alarm tanımlayın.

Failover tetikleyicileri: arayüz ve yol izleme

Cihaz çalışırken bile trafiği taşıyamayabilir: WAN arayüzü düşebilir ya da bağlantı ayakta olduğu halde servis sağlayıcının ağına erişim kesilebilir. Bu yüzden iki seviyeli izleme tanımlanır:

1. Arayüz izleme: kritik arayüzlerin fiziksel bağlantı durumu. Arayüz düştüğünde kümenin önceliği değişir ve sağlam cihaz aktif olur.
2. Yol izleme: belirli bir hedefe (ISS ağ geçidi, veri merkezindeki bir yönlendirici) ping veya benzeri yoklama. FortiGate’te link monitor, Palo Alto Networks’te path monitoring bu amaçla kullanılır.

Yol izlemede hedef seçimi işin kendisidir. İnternetteki tek bir genel IP’yi izlemek, o hedefin kendi kesintisinde gereksiz failover’a yol açar. Birden fazla hedef tanımlayıp “tümü başarısız olduğunda” koşulunu kullanın. Çift hat ve hat yedekliliği WAN tasarımının konusudur; HA’nın görevi cihaz ve arayüz arızasını karşılamaktır.

Failover’ın kullanıcıya ne kadar hızlı yansıdığı switch’in MAC tablosunu ne kadar çabuk güncellediğine de bağlıdır. Üreticiler failover anında gratuitous ARP gönderir; sanal MAC kullanan yapılarda bu ARP’ların switch’lere ulaştığını, port güvenliği veya dinamik ARP denetiminin güncellemeyi engellemediğini test edin. ARP güncellemesi switch’e ulaşmazsa firewall saniyeler içinde geçer, switch ise MAC kaydı eskiyene kadar trafiği eski porta yollar; sorun da yanlışlıkla firewall’da aranır.

Kesintisiz firmware yükseltme

HA kümesinin en sık kullanılan faydası planlı bakımdır. Akış şöyle: önce pasif cihaz yükseltilir, ardından kontrollü failover yapılır, sonra eski aktif cihaz yükseltilir. FortiOS’ta uninterruptible-upgrade ayarı bu sırayı otomatik uygular; Palo Alto Networks’te pasif cihaz askıya alınarak süreç elle yürütülür.

• Başlamadan önce yapılandırma yedeği alın ve üreticinin desteklediği yükseltme yolunu kontrol edin; bazı sürümler arasında ara sürüm gerekir.
• Kümede farklı sürümlerde çalışan cihazlar yalnızca yükseltme süresince kabul edilebilir geçici bir durumdur. Bu süreyi kısa tutun.
• Yükseltme sonrası yapılandırma sağlama değerlerinin (FortiGate’te diagnose sys ha checksum cluster) iki cihazda eşleştiğini doğrulayın.

Tek cihaz kurulumundaki temel sıkılaştırma adımları için FortiGate kurulum kontrolleri yazısına bakabilirsiniz.

Failover testi kontrol listesi

Testi bakım penceresinde, geri dönüş planı ve gözlem araçları hazırken yapın:

• Test öncesi HA durumu, sağlama değerleri ve senkronize oturum sayısı kaydedildi mi (FortiGate’te get system ha status)?
• Uzun süreli bir test bağlantısı (SSH oturumu, sürekli ping, VoIP çağrısı) failover boyunca izleniyor mu?
• Elle failover, aktif cihazın güç kaybı, izlenen arayüzün kablosunun çekilmesi ve yol izleme hedefinin erişilmez yapılması ayrı ayrı denendi mi?
• IPsec tünelleri, uzak erişim VPN kullanıcıları ve NAT’lı yayınlanan servisler failover sonrası çalışıyor mu?
• Arızalı cihaz geri geldiğinde istenmeyen ikinci bir failover yaşandı mı?
• HA durum değişikliği logları ve alarmları SIEM’de beklendiği gibi göründü mü (bkz. firewall log analizi)?
• Ölçülen kesinti süresi ve kopan oturum türleri test raporuna yazıldı mı?

Yalnız elle failover denemek yetmez. Gerçek arıza güç kablosundan gelir. Mevcut kümenin tasarımını ve test sonuçlarını bağımsız gözle değerlendirmek isterseniz bunu firewall kurulumu ve kural yönetimi kapsamında ele alıyoruz.

Sık sorulan sorular

Aktif-aktif yapı firewall kapasitesini iki katına çıkarır mı?

Hayır. Normal çalışmada yük iki cihaza dağılabilir, ama bir cihaz düştüğünde tüm yük kalan cihaza biner. Kümenin arızada ayakta kalması için toplam trafik tek cihazın kapasitesini aşmamalı; kapasite planı iki kat üzerinden değil, tek cihaz üzerinden yapılmalıdır.

Heartbeat bağlantısı bir switch üzerinden geçebilir mi?

Teknik olarak geçebilir. Tercih edilen yöntem iki cihazı doğrudan kabloyla bağlamak ve en az iki bağımsız heartbeat bağlantısı kullanmaktır. Switch üzerinden geçen tek heartbeat, switch arızasında iki cihazın da kendini aktif sanmasına, yani split-brain durumuna yol açabilir.

Failover sonrası mevcut oturumlar neden kopuyor?

En sık nedenler: oturum senkronizasyonunun kapalı olması, bağlantısız protokoller için ayrıca açılması gereken senkronizasyonun yapılmaması ve proxy tabanlı inceleme oturumlarının senkronize edilmemesi. Switch’lerin MAC tablosunu geç güncellemesi de failover sonrasında kısa süreli erişim kaybı yaratır.

Failover testi ne sıklıkla yapılmalı?

Kurulumdan sonra, her ana sürüm yükseltmesinden sonra ve topoloji değişikliklerinin ardından mutlaka; bunların dışında yılda en az bir planlı bakım penceresinde. Test edilmemiş bir HA yapısının gerçek arızada beklendiği gibi davranacağını varsaymayın.