各クラスタ メンバーでは、状態とセッションの情報が常に維持されます。フェールオーバーが発生すると、失敗した Firebox からのパケット フィルタ接続、Branch Office VPN (BOVPN) トンネル、ユーザー セッションがクラスタにある他の Firebox へ自動的にフェールオーバーされます。
一方の Firebox がクラスタ マスター、他方の Firebox がバックアップ マスターとなります。バックアップ マスタは、接続とセッション情報をクラスタ マスタと同期させるためにプライマリ クラスタ インターフェイスを使用します。クラスタ インターフェイスのベストプラクティスについては、WatchGuard Cloud でクラウド管理の FireCluster を構成する前の考慮事項 を参照してください。
バックアップ クラスタ インターフェイスが構成されている場合に、プライマリ クラスタ インターフェイスに失敗または切断が発生すると、バックアップ クラスタ インターフェイスを介してバックアップ マスターからクラスタ マスターへの通信が実現します。クラスタ インターフェイス間でスイッチを使用する場合にのみ、バックアップ クラスタ インターフェイスを使用することが勧められます。バックアップ クラスタ インターフェイスのベストプラクティスについては、WatchGuard Cloud でクラウド管理の FireCluster を構成する前の考慮事項 を参照してください。
また、プライマリ クラスタ インターフェイスとバックアップ クラスタ インターフェイスの両方を介して、クラスタ マスターから 1 秒ごとに 1 回ハートビート パケットがバックアップ マスターに送信されます。
フェールオーバーをトリガーするイベント
クラウド管理の FireCluster では、以下のイベントが発生した場合にクラスタ マスターのフェールオーバーがトリガーされます。
健全性指数が低すぎる場合
各クラスタ メンバーには、Firebox の全体的な健全性を示す加重平均指数 (WAI) が付いています。クラスタ メンバーの WAI は、そのデバイスのシステム健全性指数 (SHI) と監視対象ポート健全性指数 (MPHI) の加重平均となります。クラスタ マスターの WAI がバックアップ マスターの WAI よりも低い場合に、クラスタ マスターがフェールオーバーします。
ハードウェア健全性指数 (HHI) は、クラウド管理の FireCluster では無効化されています。
FireCluster の健全性指数の値を確認する方法については、FireClusters を監視する を参照してください。
ハートビートが喪失した場合
このクラスタ マスタは、プライマリ クラスタ インターフェイスとバックアップ クラスタ インターフェイスでハートビート パケットを 1 秒に 1 回送信します。バックアップ マスタが 3 つの連続するハートビートを受信しなかった場合、クラスタ マスタのフェールオーバーがトリガされます。ハートビートが喪失した場合のしきい値は 3 となっています。
手動でフェールオーバーが実行された場合
WatchGuard Cloud で、構成 > デバイス > マスターをフェールオーバーする の順に選択すると、クラスタ マスターがバックアップ マスターに強制的にフェールオーバーされます。
手動のフェールオーバーの詳細については、WatchGuard Cloud で FireCluster をフェールオーバーさせる を参照してください。
FireCluster では、物理インターフェイスがダウンした際、または応答しなくなった際に、フェールオーバーがトリガーされます。FireCluster では、Link Monitor の障害のために複数 WAN フェールオーバーが発生した場合は、フェールオーバーはトリガーされません。
フェールオーバーが発生すると、どうなるか
クラスタ マスターがフェールオーバーされると、バックアップ マスターがクラスタ マスターとなります。元のクラスタ マスターが、バックアップ マスターとしてクラスタに復帰します。クラスタでは、パケット フィルタ接続、Branch Office VPN (BOVPN) トンネル、ユーザー セッションが維持されます。
アクティブ/パッシブ FireCluster では、バックアップ マスターにトラフィックが割り当てられていないため、バックアップ マスターが失敗しても、接続もセッションも遮断されません。
| 接続/セッションの種類 | フェールオーバー イベントの影響 |
|---|---|
| パケット フィルタ接続 | 他のクラスタ メンバーに接続がフェールオーバーします。 |
| Branch Office VPN (BOVPN) トンネル | 他のクラスタ メンバーにトンネルがフェールオーバーします。 |
| ユーザー セッション | 他のクラスタ メンバーにセッションがフェールオーバーします。 |
| プロキシ接続 | 失敗した Firebox (マスターまたはバックアップ マスター) に割り当てられている接続を再起動する必要があります。他の Firebox に割り当てられている接続は遮断されません。 |
| Mobile VPN with SSL | いずれかの Firebox がフェールオーバーされた場合は、すべてのセッションを再起動する必要があります。 |
| Mobile VPN with IKEv2 | クラスタ マスタがフェールオーバーすると、すべてのセッションを再起動する必要があります。 バックアップ マスタがフェールオーバーすると、バックアップ マスタに割り当てられているセッションのみを再起動する必要があります。 クラスタ マスタに割り当てられているセッションは遮断されません。 |
FireCluster フェールオーバーを監視する
デバイス設定 ページで、どのクラスタ メンバーがクラスタ マスターであるかを確認することができます。クラウド管理の FireCluster では、アクティブ/パッシブ モードのみが使用されます。つまり、クラスタ マスターからのみ WatchGuard Cloud への接続が発生するということです。クラスタ マスターのステータスは 接続済み となります。バックアップ マスターのステータスは 未接続 となります。デバイス設定ページの詳細については、デバイス設定ページについて を参照してください。
ライブ ステータス > FireCluster の順に移動したページに、クラスタ イベントのリストが表示されます。これには、クラスタ フェールオーバーのイベントが含まれています。FireCluster のライブ ステータス ページの詳細については、FireClusters を監視する を参照してください。
FireCluster フェールオーバーと登録サービス
FireCluster で、ライセンスが割り当てられている登録サービスを有効化すると、フェールオーバーが発生した後もサービスが動作を続けます。クラウド管理の FireCluster の場合は、1 つのクラスタ メンバーのみに、機能キーで登録サービスを有効化する必要があります。アクティブなクラスタ メンバーがいずれかのクラスタ メンバーの機能キーで有効な登録サービスを使用します。
機能キーと FireCluster の詳細については、機能キーと FireCluster について を参照してください。
WatchGuard Cloud の FireCluster について